Verwerkersovereenkomst van Pyxis

Versie 1.2, van kracht vanaf 16 oktober 2026.

Dit is een niet-bindende vertaling, alleen ter informatie. De bindende tekst is de Portugese versie (Português); als de twee verschillen, gaat de Portugese tekst voor.

Deze overeenkomst is Bijlage 1 bij de Gebruiksvoorwaarden van Pyxis en maakt deel uit van de overeenkomst tussen jou en ons. Ze legt uit hoe we de persoonsgegevens verwerken die vanaf je websites bij Pyxis binnenkomen, overeenkomstig de Lei Geral de Proteção de Dados Pessoais (Braziliaanse algemene wet bescherming persoonsgegevens; Lei nº 13.709/2018, de "LGPD"). Als iets hierin in strijd is met de Gebruiksvoorwaarden, gaat deze overeenkomst voor wat persoonsgegevens betreft.

Artikel 1 — Wie de partijen zijn

1.1. Wij: Samuel da Cruz Santana, natuurlijk persoon, ingeschreven onder CPF-nummer (Cadastro de Pessoas Físicas; Braziliaans fiscaal nummer van een natuurlijk persoon) 041.318.995-31, met adres te Rua Teódulo de Albuquerque, 98, Cabula VI, Salvador/BA, CEP 41181-010, die de dienst aanbiedt onder de naam Pyxis. Contact: hello@pyxis-analytics.dev.

1.2. Jij: de persoon of de onderneming die het gehoste Pyxis heeft afgenomen door de Gebruiksvoorwaarden te aanvaarden, in het dashboard vertegenwoordigd door de accounteigenaar (Gebruiksvoorwaarden, Artikel 2.9).

Artikel 2 — Begrippen in deze overeenkomst

2.1. De woorden persoonsgegeven, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, anonimisering, verwijdering, internationale doorgifte en beveiligingsincident hebben de betekenis die de LGPD (art. 5) en de besluiten van de Agência Nacional de Proteção de Dados (ANPD; Braziliaanse nationale gegevensbeschermingsautoriteit) eraan geven.

2.2. Bezoeker is de persoon die een website of app van jou bezoekt waarop de tracker van Pyxis is geïnstalleerd.

2.3. Event is elk record dat de tracker naar Pyxis stuurt, zoals een bekeken pagina of een actie die je hebt gemarkeerd.

2.4. Project is de configuratie van een van je websites in Pyxis: naam, toegestane adressen (origins), tijdzone, conversie-event, sleutels en events.

2.5. Subverwerker is de provider die wij inschakelen en die voor onze rekening persoonsgegevens uit deze overeenkomst verwerkt.

Artikel 3 — Rollen van elke partij

3.1. Wat betreft de gegevens van de bezoekers van je websites ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker (LGPD, art. 5, VI en VII). Jij beslist of en hoe er wordt gemeten; wij verwerken de gegevens om de dienst te verlenen die je hebt afgenomen.

3.2. Als je Pyxis gebruikt om websites van derden te meten (bijvoorbeeld als bureau), verklaar je dat je toestemming hebt van de verwerkingsverantwoordelijke van die websites om ons in te schakelen en de instructies van deze overeenkomst te geven. In dat geval treden wij op als subverwerker, en geef jij de informatie uit deze overeenkomst die de verwerkingsverantwoordelijke nodig heeft aan hem door.

3.3. Wat betreft de gegevens van je account (de e-mailadressen van wie het dashboard gebruikt, het account en het abonnement, de aanvaarding van de voorwaarden, de factureringsgeschiedenis, de voorkoming van herhaalde gratis proefperiodes, de registraties van de koppelingen van apps en de supportberichten) zijn wij de verwerkingsverantwoordelijke. Die verwerking staat in het Privacybeleid van Pyxis (Bijlage 2 bij de Gebruiksvoorwaarden), niet in deze overeenkomst.

Artikel 4 — Wat we verwerken, waarvoor en hoe lang

4.1. Bijlage I bij deze overeenkomst beschrijft de verwerking: doeleinden, betrokkenen, categorieën van gegevens, wat niet wordt bewaard, waar de gegevens staan en hoe lang.

4.2. We verwerken de gegevens van de bezoekers uitsluitend om:

1. de door de tracker verzonden events te ontvangen en in je project op te slaan;
2. de analyse te tonen aan jou en aan de personen die je hebt gemachtigd, in het dashboard, in de raadplegings-API, in de MCP-server (ook aan de apps die zij koppelen; Bijlage I, punt 10) en in de wekelijkse samenvatting per e-mail;
3. de verzoeken van betrokkenen om verwijdering en kopie van gegevens af te handelen (Artikel 10);
4. de dienst veilig en werkend te houden (limieten tegen misbruik, verhelpen van storingen, back-ups van de providers);
5. een wettelijke verplichting of een bevel van een bevoegde autoriteit na te komen (Artikel 15);
6. op verzoek van de accounteigenaar het exportbestand met de events van een project aan te maken (Bijlage I, punt 11);
7. een vermoeden van misbruik of van gebruik in strijd met de Gebruiksvoorwaarden te controleren en in te dammen (Artikelen 12 en 18 van de Voorwaarden), alleen met de gegevens die de dienst al bewaart en alleen voor zover nodig (Artikel 7.2).

4.3. We gebruiken de gegevens van je projecten voor geen enkel ander doel. We verkopen ze niet, verhuren ze niet, gebruiken ze niet voor reclame, gebruiken ze niet om modellen van kunstmatige intelligentie te trainen en combineren ze niet met gegevens van andere klanten. De enige cijfers die we voor eigen gebruik uit je projecten halen, zijn operationele tellingen, zoals het aantal events per maand van elk account en de omvang van de database, die worden gebruikt om de maandlimiet van het abonnement toe te passen (Gebruiksvoorwaarden, Artikel 7.2) en de capaciteit van de dienst te controleren.

Artikel 5 — Jouw instructies

5.1. Je instructies voor de verwerking zijn, gezamenlijk:

1. de Gebruiksvoorwaarden en deze overeenkomst;
2. de configuratie van je projecten (toegestane origins, tijdzone, conversie-event, sleutels en personen met toegang), ingesteld door de accounteigenaar in het dashboard of, op verzoek, door ons;
3. wat de op je website geïnstalleerde tracker verzendt (welke events, eigenschappen en of je de functie identify gebruikt);
4. de handelingen van de accounteigenaar in het dashboard (bijvoorbeeld de events exporteren, een project verwijderen of het account opheffen), de aanroepen die je met je geheime sleutel of met een toegangstoken naar de API doet, en de koppelingen van apps die de personen met toegang in het dashboard toestaan (Bijlage I, punt 10);
5. de verzoeken die je ons schriftelijk stuurt, via het e-mailadres hello@pyxis-analytics.dev.

5.2. Als een instructie van jou ons in strijd lijkt met de LGPD of met een andere wet, laten we je dat schriftelijk weten en voeren we haar niet uit totdat de kwestie is opgelost: de verwerker die een onrechtmatige instructie opvolgt, is samen met de verwerkingsverantwoordelijke aansprakelijk (LGPD, art. 42, § 1, I).

5.3. Een instructie die vereist dat de werking van de dienst voor alle klanten wordt gewijzigd (bijvoorbeeld een gegeven bewaren dat Pyxis niet bewaart), is voor ons niet bindend; in dat geval kun je de overeenkomst beëindigen op grond van de Gebruiksvoorwaarden.

5.4. Opschorting van de verwerking. We kunnen de verwerking van een project geheel of gedeeltelijk opschorten (normaal gesproken de ontvangst van nieuwe events), volgens de procedure van Artikel 18 van de Gebruiksvoorwaarden, wanneer:

1. het project direct identificerende of gevoelige persoonsgegevens verzendt, in strijd met Artikel 6.1, punten 3 en 4;
2. het project events verzendt van wie heeft gevraagd niet gemeten te worden, in strijd met Artikel 6.1, punt 5;
3. een instructie van jou onrechtmatig is (Artikel 5.2);
4. dat nodig is om een beveiligingsincident in te dammen (Artikel 11.6); of
5. een wet of een bevoegde autoriteit dat voorschrijft (Artikel 15).

Tijdens de opschorting blijven de al ontvangen gegevens bewaard, met dezelfde beveiligingsmaatregelen (Bijlage II); wordt er in het opgeschorte deel geen nieuw gegeven ontvangen; blijven de bewaar- en verwijderingstermijnen van Artikel 12 gelden; en worden de gegevens die in strijd met deze overeenkomst zijn ontvangen op jouw instructie verwijderd (Artikel 10.6). De opschorting verandert niets aan je plichten als verwerkingsverantwoordelijke tegenover de betrokkenen.

Artikel 6 — Wat je als verwerkingsverantwoordelijke garandeert

6.1. Je garandeert dat je:

1. een geldige rechtsgrond (LGPD, art. 7) hebt om het gebruik van je websites met Pyxis te meten. Voor de meting zonder cookies en zonder direct identificerende persoonsgegevens die Pyxis uitvoert, is de meest gebruikelijke grondslag het gerechtvaardigd belang (art. 7, IX, en art. 10), dat transparantie en respect voor de verwachtingen van de bezoeker vereist; de beoordeling ligt bij jou;
2. de bezoekers op duidelijke wijze over de meting informeert, in de privacyverklaring van je website. Bijlage IV bevat een model;
3. geen direct identificerende persoonsgegevens en geen gevoelige persoonsgegevens naar Pyxis verzendt: geen naam, e-mailadres, telefoonnummer, CPF, adres, documentnummer, door de bezoeker getypte tekst, gezondheidsgegeven, raciale afkomst, religie, politieke opvatting, seksueel leven, genetisch of biometrisch gegeven, noch enig gegeven dat op zichzelf een persoon identificeert;
4. als je de functie identify gebruikt, alleen een interne en ondoorzichtige identificatie van het account in je systeem verzendt (bijvoorbeeld een willekeurig registratienummer), nooit het e-mailadres, de CPF, het telefoonnummer of een ander gegeven dat de persoon direct identificeert;
5. het respecteren van de "niet volgen"-signalen van de browser (Global Privacy Control en Do Not Track) en van de optie om niet gemeten te worden (optOut) die de tracker biedt, niet uitschakelt of omzeilt, en ook niet langs een andere weg events verzendt van wie heeft gevraagd niet gemeten te worden;
6. als je website gericht is op kinderen of adolescenten, de verwerking vóór de installatie van de tracker hebt beoordeeld in het licht van art. 14 van de LGPD en van hun belang;
7. reageert op de verzoeken van de betrokkenen van je websites, met onze ondersteuning (Artikel 10);
8. waar van toepassing de informatie over internationale doorgifte publiceert die wordt vereist door art. 17, § 2, van het Reglement dat is goedgekeurd bij Resolução CD/ANPD nº 19/2024 (besluit van de raad van bestuur van de ANPD), met gebruikmaking van de informatie in Artikel 9 en Bijlage III;
9. de tracker alleen installeert op, en als origin van een project alleen registreert, websites die van jou zijn of van iemand die je toestemming heeft gegeven (Artikel 3.2).

6.2. De server van Pyxis verwijdert automatisch waarden met de vorm van een e-mailadres of reeksen van 10 of meer cijfers (zoals CPF, CNPJ – Braziliaans fiscaal nummer van een rechtspersoon – en telefoonnummer) in de eigenschappen van de events, in de campagneparameters en in de gebruikersidentificatie. Deze barrière is een tweede laag: ze herkent geen namen, adressen of vrije teksten. De verantwoordelijkheid voor wat je website verzendt, ligt bij jou.

6.3. Als je merkt dat je direct identificerende persoonsgegevens naar Pyxis hebt verzonden, laat het ons dan weten. We helpen ze te verwijderen (Artikel 10.6). Als wij het merken, via de weigeringslogs van de barrière of op een andere manier, laten we het jou weten.

Artikel 7 — Vertrouwelijkheid

7.1. Op dit moment wordt Pyxis door één persoon geëxploiteerd: de in Artikel 1.1 genoemde natuurlijke persoon. Hij is de enige persoon met beheerderstoegang tot de systemen en de database.

7.2. We raadplegen de gegevens van een project alleen wanneer dat nodig is om: (a) de support te verlenen waarom je hebt gevraagd; (b) een storing of een beveiligingsincident te onderzoeken of te verhelpen; (c) de dienst te onderhouden; (d) een wettelijke verplichting of een bevel van een autoriteit na te komen; of (e) een concreet vermoeden van misbruik te controleren (Artikel 18 van de Gebruiksvoorwaarden), waarbij we alleen bekijken wat nodig is om het te bevestigen of uit te sluiten.

7.3. Als in de toekomst een andere persoon de dienst samen met ons gaat exploiteren, krijgt die pas toegang nadat die schriftelijk dezelfde geheimhoudingsplicht als in deze overeenkomst op zich heeft genomen, en laten we het je weten.

7.4. De geheimhoudings- en beveiligingsplicht blijft gelden na het einde van de overeenkomst (LGPD, art. 47).

Artikel 8 — Beveiliging

8.1. We nemen technische en organisatorische maatregelen om de gegevens te beschermen tegen onbevoegde toegang en tegen vernietiging, verlies, wijziging, openbaarmaking of elke ongepaste of onrechtmatige verwerking (LGPD, art. 46). De geldende maatregelen staan in Bijlage II.

8.2. We kunnen een maatregel vervangen door een gelijkwaardige of betere. We verlagen tijdens de overeenkomst het in Bijlage II beschreven algemene beschermingsniveau niet.

8.3. De broncode van Pyxis is openbaar (MIT-licentie). Je kunt nagaan hoe de dienst de gegevens verwerkt in de repositories pyxis-api, pyxis-sdk, pyxis-web en pyxis-mcp, op GitHub.

Artikel 9 — Subverwerkers en internationale doorgifte

9.1. Toestemming. Je geeft toestemming voor het gebruik van de in Bijlage III vermelde subverwerkers. Elk van hen verwerkt alleen wat nodig is voor het deel van de dienst dat hij levert.

9.2. Wijzigingen. Voordat we een subverwerker die gegevens van de bezoekers verwerkt toevoegen of vervangen, laten we je dat per e-mail weten ten minste 30 dagen van tevoren, met vermelding van wie het is, wat hij zal doen en waar. Als je niet akkoord gaat, kun je de overeenkomst vóór de wijziging beëindigen en krijg je het bedrag terug dat evenredig is aan de betaalde en niet-gebruikte periode. In een noodgeval (bijvoorbeeld een provider die niet meer werkt of onveilig is geworden) kan de vervanging onmiddellijk zijn; we laten het je binnen 5 werkdagen weten, en je hebt hetzelfde recht om te beëindigen met evenredige terugbetaling.

9.3. Overeenkomsten met de subverwerkers. De providers in Bijlage III zijn grote ondernemingen die contracteren op gestandaardiseerde voorwaarden, waarover wij niet onderhandelen. We kiezen providers waarvan de voorwaarden toezeggingen bevatten over beveiliging, vertrouwelijkheid en verwerking volgens onze instructies. Bijlage III vermeldt de overeenkomst van elk van hen.

9.4. Waar de gegevens staan. De events van je projecten worden in Brazilië opgeslagen: in de database van Neon, die draait in de regio São Paulo van AWS, en verwerkt door de API in de regio São Paulo van AWS (sa-east-1).

9.5. Waar een buitenlands element aanwezig is. Ook al worden de gegevens in Brazilië opgeslagen, er zijn vier situaties die je moet kennen:

1. Distributienetwerk van AWS (CloudFront). De verzoeken van de browser van de bezoeker komen aan bij het dichtstbijzijnde point of presence van AWS, dat buiten Brazilië kan liggen wanneer de bezoeker zich buiten Brazilië bevindt. Dat punt stuurt het verzoek alleen door naar São Paulo: de cache staat uit en we bewaren geen toegangslogs van CloudFront.
2. Ondernemingen gevestigd in de Verenigde Staten. Neon maakt deel uit van Databricks, Inc.; Vercel Inc. host het dashboard. Beide zijn ondernemingen uit de VS, en hun teams en systemen kunnen van buiten Brazilië toegang tot gegevens hebben om de dienst te exploiteren, support te verlenen en back-ups te maken.
3. Dashboard. De pagina's van het dashboard worden opgebouwd in functies van Vercel in de regio São Paulo (gru1), maar Vercel verklaart dat zijn hoofdverwerking in de VS plaatsvindt. De technische logs van de verzoeken aan het dashboard blijven 1 dag bij Vercel.
4. Gekoppelde apps. Als een persoon met toegang Claude of Claude Code koppelt, gaan de gegevens die die persoon aan de app vraagt naar Anthropic in de VS, op jouw instructie (Artikel 5.1, punt 4, en Bijlage I, punt 10). Anthropic is niet onze subverwerker.

De e-mails van de dienst, ook de wekelijkse samenvatting (die alleen geaggregeerde cijfers van het project bevat, zonder gegevens van identificeerbare bezoekers; Bijlage I, punt 6), gaan via Amazon SES, in de regio São Paulo van AWS (Bijlage III).

9.6. Doorgiftemechanisme. Op de datum van deze versie voorzien de gegevensverwerkingsovereenkomsten (DPA) van AWS, Databricks (Neon) en Vercel in de modelcontractbepalingen van de Europese Unie en in beveiligingstoezeggingen, maar bevatten ze niet de door de ANPD goedgekeurde modelcontractbepalingen (Resolução CD/ANPD nº 19/2024). Om wat Brazilië verlaat tot een minimum te beperken (art. 9, enig lid, van het Reglement), bewaart Pyxis geen IP-adres, bewaart het niet de volledige browser, gebruikt het geen cookies op je websites en reduceert het de adressen van de pagina's tot sjablonen (Bijlage II). Wij verbinden ons ertoe: (a) de modelcontractbepalingen van de ANPD of een ander geldig mechanisme van art. 33 van de LGPD toe te passen zodra een van deze providers dat aanbiedt, of zo nodig van provider te wisselen; (b) je op de hoogte te brengen van elke wijziging op dit punt; en (c) je op verzoek de informatie te geven die je nodig hebt om de doorgifte te beoordelen (art. 4, § 1, van het Reglement).

Artikel 10 — Verzoeken van betrokkenen

10.1. Wie antwoordt. Als verwerkingsverantwoordelijke antwoord jij aan de bezoekers en gebruikers van je websites die vragen om bevestiging, inzage, rectificatie, verwijdering of een andere maatregel van art. 18 van de LGPD. Wij helpen zoals hieronder beschreven.

10.2. Alleen wie is geïdentificeerd, kan worden gevonden. Pyxis bewaart geen cookies, IP-adres of blijvende identificatie van de anonieme bezoeker. De bezoekidentificatie is willekeurig, staat alleen in het browsertabblad en wordt vervangen bij het sluiten van het tabblad of na 30 minuten zonder activiteit. Daarom is er geen manier om de anonieme bezoeken van een persoon te vinden. Alleen de events van iemand die je website met de functie identify heeft geïdentificeerd, kunnen worden gevonden, aan de hand van de interne identificatie die je hebt verzonden.

10.3. De gegevens van een persoon verwijderen (zelf, via de API). Roep DELETE https://api.pyxis-analytics.dev/v1/subjects/{userId} aan met de geheime sleutel van het project (header Authorization: Bearer). Pyxis verwijdert alle events met die identificatie en ook de bezoeken waarin de persoon is geïdentificeerd, met inbegrip van de anonieme events van datzelfde bezoek van vóór de identificatie (bijvoorbeeld de landingspagina en de herkomst van het bezoek). Het antwoord vermeldt hoeveel events zijn verwijderd. Een nieuwe aanroep geeft nul als antwoord; herhalen is veilig.

10.4. De gegevens van een persoon kopiëren (zelf, via de API). Roep GET https://api.pyxis-analytics.dev/v1/subjects/{userId}/events aan met de geheime sleutel. Het antwoord bevat dezelfde events die de verwijdering zou wissen, op volgorde, tot 1.000 per pagina, in JSON. Als er meer zijn, vermeldt het antwoord de volgende cursor (next_after), die je als ?after= meegeeft om de volgende pagina op te halen. Elk event bevat naam, datum en tijd, bezoekidentificatie, pagina, herkomst, apparaat, land, staat en eigenschappen.

10.5. Limieten van deze routes. Beide routes accepteren tot 60 aanroepen per minuut per sleutel en per herkomstadres. De geheime sleutel mag alleen op je server worden gebruikt, nooit in de browser.

10.6. Een verzoek aan ons. Als je dat liever doet, stuur het verzoek dan naar hello@pyxis-analytics.dev, vanaf het e-mailadres van een persoon met toegang tot het project, met de gebruikersidentificatie en wat je wenst (verwijdering of kopie). We voeren het uit binnen 5 werkdagen en antwoorden met het resultaat (het aantal verwijderde events of het bestand met de kopie). Hetzelfde geldt als je per vergissing persoonsgegevens hebt verzonden en die moet laten verwijderen.

10.7. Een verzoek dat rechtstreeks bij ons binnenkomt. Als een betrokkene van je websites contact met ons opneemt, beantwoorden we de inhoud niet namens jou: binnen 2 werkdagen sturen we het verzoek naar jou door en laten we de betrokkene weten dat jij de verwerkingsverantwoordelijke bent en wat je kanaal is, wanneer we dat kennen.

10.8. Wettelijke termijnen. De termijnen om de betrokkene te antwoorden zijn de jouwe, als verwerkingsverantwoordelijke (bijvoorbeeld tot 15 dagen voor de volledige verklaring van art. 19, II, van de LGPD, of de afwijkende termijn voor kleine verwerkingsorganisaties (agentes de tratamento de pequeno porte), als je daaronder valt). Onze termijnen hierboven zijn zo opgezet dat ze daarbinnen passen.

Artikel 11 — Beveiligingsincidenten

11.1. Als we kennis krijgen van een beveiligingsincident dat persoonsgegevens van een van je projecten heeft getroffen of kan hebben getroffen, laten we je dat weten zonder onredelijke vertraging en binnen 48 uur na die kennisname, via het e-mailadres van de personen met toegang tot het project.

11.2. De melding vermeldt wat we op dat moment weten, en we vullen haar later aan zodra we meer informatie hebben:

1. wat er is gebeurd, wanneer het is gebeurd (als dat bekend kan zijn) en wanneer we het te weten kwamen;
2. de aard en de categorieën van de getroffen gegevens en, wanneer een schatting mogelijk is, hoeveel betrokkenen;
3. de beveiligingsmaatregelen die de gegevens vóór het incident beschermden;
4. de mogelijke risico's en gevolgen voor de betrokkenen;
5. wat we al hebben gedaan en wat we zullen doen om het incident in te dammen en de gevolgen te beperken;
6. een contactpersoon om de zaak te volgen.

11.3. Deze termijn is gekozen zodat jij de jouwe kunt nakomen: de verwerkingsverantwoordelijke moet het incident dat een relevant risico of relevante schade kan veroorzaken binnen 3 werkdagen na de kennisname melden aan de ANPD en aan de betrokkenen (Resolução CD/ANPD nº 15/2024, arts. 6 en 9), een termijn die voor kleine verwerkingsorganisaties dubbel wordt gerekend.

11.4. De melding aan de ANPD en aan de betrokkenen van je websites is jouw taak, als verwerkingsverantwoordelijke (LGPD, art. 48). Wij werken mee met de informatie die we hebben en doen geen openbare mededeling over de gegevens van je project zonder eerst met jou te overleggen, behalve bij een wettelijke verplichting.

11.5. We houden een register bij van elk beveiligingsincident met persoonsgegevens, ook van de incidenten die niet hoefden te worden gemeld, gedurende ten minste 5 jaar.

11.6. Om een lopend incident of een lopende aanval in te dammen, kunnen we delen van de dienst onmiddellijk opschorten (bijvoorbeeld een sleutel intrekken of de ontvangst van events van een project pauzeren), voor zover nodig. We laten het je weten zoals in Artikel 11.1, wanneer er persoonsgegevens bij betrokken zijn, of zoals in Artikel 18.4 van de Gebruiksvoorwaarden, en we herstellen het zodra het risico voorbij is.

Artikel 12 — Bewaring en verwijdering

12.1. Tijdens de overeenkomst. De events worden 13 maanden bewaard. Een dagelijkse routine verwijdert de events ouder dan 13 maanden, van alle projecten.

12.2. Einde van de overeenkomst. 30 dagen na het einde van de toegang (het einde van de betaalde periode of van de proefperiode na een opzegging, de opheffing van het account via het dashboard, het einde van het abonnement wegens niet-betaling of de beëindiging door ons; Gebruiksvoorwaarden, Artikelen 2.10 en 11.4) verwijdert een dagelijkse routine definitief het account, de projecten en alles wat daarbij hoort: events, sleutels, configuraties, icoon van de website, verzendlogs van de wekelijkse samenvatting, exportverzoeken en de toegang van de personen tot de projecten. We verwijderen ook de registratie (e-mailadres, sessies, tokens en gekoppelde apps) van de accounteigenaar en van de personen die alleen toegang hadden tot projecten van je account. Als je een project vóór dat moment via het dashboard verwijdert, worden de events en alles wat bij dat project hoort direct verwijderd.

12.3. Kopie vóór de verwijdering. Tot de datum van verwijdering exporteert de accounteigenaar de events van elk project via het dashboard, in een gecomprimeerd CSV-bestand dat 7 dagen beschikbaar blijft (Gebruiksvoorwaarden, Artikel 11.5; Bijlage I, punt 11). Als de export via het dashboard niet werkt, sturen we het bestand binnen 10 werkdagen na het per e-mail gedane verzoek; als het verzoek dicht bij de verwijderingsdatum binnenkomt, stellen we de verwijdering uit totdat we de kopie hebben geleverd.

12.4. Kopieën van de providers. Na de verwijdering kunnen de gegevens nog gedurende beperkte tijd bestaan in de automatische back-ups van de databaseprovider: de herstelgeschiedenis van Neon bewaart de wijzigingen tot 7 dagen, en de back-ups van Neon worden tot 30 dagen bewaard. Die kopieën worden voor niets anders gebruikt dan herstel na een calamiteit en verdwijnen binnen die termijnen vanzelf. Een nog niet verlopen exportbestand verdwijnt uiterlijk 7 dagen nadat het klaar is. De technische logs van de API (die geen gegevens van bezoekers bevatten; Bijlage II, punt 9) verdwijnen na 14 dagen.

12.5. Bevestiging. De accounteigenaar ontvangt een e-mail wanneer de verwijdering is uitgevoerd. Als je erom vraagt, bevestigen we ook de datum en wat er is verwijderd.

12.6. Uitzondering: bewaring op grond van wet of bevel. We bewaren gegevens van je projecten alleen langer dan deze termijnen wanneer een wet, een rechterlijk bevel of een vordering van een bevoegde autoriteit ons daartoe verplicht, of wanneer ze nodig zijn voor een gerechtelijke, bestuursrechtelijke of arbitrale procedure (LGPD, arts. 7, VI, en 16, I). In dat geval bewaren we alleen de betrokken gegevens, zonder enig ander gebruik, zo lang als vereist, en verwijderen we ze daarna; we laten het je weten, tenzij de wet of het bevel die mededeling verbiedt.

Artikel 13 — Informatie en audit

13.1. Als je er schriftelijk om vraagt, geven we binnen 15 dagen de informatie die nodig is om aan te tonen dat we deze overeenkomst nakomen. Dat omvat het beantwoorden van een redelijke vragenlijst over beveiliging en privacy, kosteloos, één keer per jaar en na elk incident.

13.2. Omdat de code van Pyxis openbaar is, kun je de werking van de dienst rechtstreeks nagaan. Gezien de omvang van de dienst bieden we geen audit ter plaatse en geen toegang tot de productiesystemen; de rapporten en certificeringen van de providers (AWS, Databricks/Neon, Vercel) zijn beschikbaar op hun websites.

13.3. We werken mee met de ANPD en met andere bevoegde autoriteiten bij controles die betrekking hebben op de gegevens van je projecten.

Artikel 14 — Aansprakelijkheid

14.1. Elke partij is aansprakelijk voor de schade die zij veroorzaakt door de LGPD of deze overeenkomst niet na te komen. Wij zijn, als verwerker, tegenover de betrokkenen aansprakelijk overeenkomstig art. 42 van de LGPD: wanneer we de gegevensbeschermingswetgeving niet naleven of je rechtmatige instructies niet opvolgen.

14.2. Tussen jou en ons geldt Artikel 19 (Aansprakelijkheid) van de Gebruiksvoorwaarden. Niets daarin vermindert de rechten van de betrokkenen of het regresrecht van art. 42, § 4, van de LGPD.

Artikel 15 — Verzoeken van autoriteiten

15.1. We verstrekken gegevens van je projecten alleen aan een autoriteit wanneer er een rechterlijk bevel is of een vordering van wie daartoe wettelijk bevoegd is (Marco Civil da Internet (Braziliaanse internetwet), Lei nº 12.965/2014, art. 10).

15.2. Vóór de verstrekking laten we het je weten, tenzij de wet of het bevel die mededeling verbiedt. We verstrekken alleen wat wordt vereist.

Artikel 16 — Looptijd en wijzigingen

16.1. Deze overeenkomst geldt zolang de Gebruiksvoorwaarden van kracht zijn en, daarna, totdat de gegevens overeenkomstig Artikel 12 zijn verwijderd.

16.2. Voor wijzigingen van deze overeenkomst geldt de wijzigingsregel van de Gebruiksvoorwaarden (kennisgeving van 30 dagen en recht om te beëindigen). Wijzigingen die door de wet of door de ANPD worden vereist, kunnen eerder ingaan; in dat geval kun je de overeenkomst beëindigen met evenredige terugbetaling van de betaalde en niet-gebruikte periode.

Bijlage I — Beschrijving van de verwerking

1. Doel. Het gebruik van de websites en apps van de klant meten en de analyse aan de klant tonen; verzoeken van betrokkenen afhandelen; de beveiliging en de werking van de dienst in stand houden.

2. Betrokkenen. (a) Bezoekers van de websites en apps van de klant; (b) gebruikers van het systeem van de klant die hij met de functie identify identificeert.

3. Gegevens van elk opgeslagen event.

4. Wat Pyxis niet bewaart.

• IP-adres: alleen gebruikt in het geheugen van de API-functie, om misbruik te beperken, gedurende de duur van het limietvenster (1 minuut bij het verzenden van events; 15 minuten bij het inloggen op het dashboard). Wordt nooit vastgelegd in de database of in de logs.
• Volledige browseridentificatie (user agent): op het moment zelf gelezen om de apparaatcategorie, de familie van de browser en die van het besturingssysteem te bepalen; daarna weggegooid. Bezoeken van bekende bots worden weggegooid.
• Cookies: de tracker plaatst geen cookies op de websites van de klant.
• Stad, volledig adres van de pagina, parameters van het adres (behalve die van campagnes), browser-fingerprint: nooit.

5. Gevoelige persoonsgegevens. Mogen niet worden verzonden (Artikel 6.1, punt 3). Pyxis is niet gemaakt om ze te verwerken.

6. Wekelijkse samenvatting per e-mail. Elke maandag ontvangt elke persoon met toegang tot het project die de samenvatting niet heeft uitgeschakeld geaggregeerde cijfers van de week: bezoeken, geïdentificeerde personen (alleen het aantal), conversies, mislukte schrijfverzoeken, bezoeken per dag, meest voorkomende pagina's en events en de routes met de meeste fouten. De samenvatting bevat geen identificaties van bezoekers of gebruikers.

7. Verwerkingshandelingen. Ontvangst, validatie, classificatie, opslag, raadpleging, aggregatie, weergave in het dashboard, levering via de raadplegings-API, via de MCP-server en aan de gekoppelde apps, verzending van de geaggregeerde samenvatting per e-mail, kopie (export), opschorting van de ontvangst (Artikel 5.4) en verwijdering.

8. Frequentie en duur. Doorlopend, zolang de tracker is geïnstalleerd en de overeenkomst van kracht is. Events 13 maanden bewaard; verwijdering aan het einde van de overeenkomst overeenkomstig Artikel 12.

9. Waar. Database en API in São Paulo (Brazilië). Dashboard in functies in de regio São Paulo. Situaties met een buitenlands element in Artikel 9.5.

10. Toegang via de MCP-server, via tokens en via gekoppelde apps. De gegevens van het dashboard verlaten Pyxis langs drie wegen, alle gekozen door een persoon met toegang tot het project, die ze op eigen naam gebruikt:

1. Token in de lokale MCP-server of in een ander programma: de persoon maakt een toegangstoken aan en gebruikt het in de MCP-server van Pyxis (pyxis-mcp), die op diens computer draait, of in een ander programma. De gegevens gaan naar die computer en naar de tool voor kunstmatige intelligentie die de persoon heeft gekozen.
2. Token op het adres https://api.pyxis-analytics.dev/mcp: hetzelfde, met de MCP-server draaiend binnen onze API; de gegevens gaan naar het programma dat de persoon met het token heeft geconfigureerd.
3. Gekoppelde app (Claude-connector): de persoon koppelt Claude of Claude Code, van Anthropic, en staat de koppeling toe op een pagina van het dashboard (Gebruiksvoorwaarden, Artikel 13.10). De gegevens die de app opvraagt, gaan vanuit onze API rechtstreeks naar de servers van Anthropic in de Verenigde Staten (Claude), of naar de computer van de persoon en van daaruit naar Anthropic (Claude Code).

Langs elk van die wegen leest de app alleen, en alleen wat de persoon in het dashboard ziet: de geaggregeerde cijfers en ook de lijsten met bezoeken en de tijdlijn van elk bezoek, met de via de functie identify verzonden gebruikersidentificatie (punt 3). Die verzending is een instructie van jou (Artikel 5.1, punt 4) en vindt plaats op verzoek van de persoon, binnen de app die die persoon heeft gekozen: die app, met inbegrip van Anthropic, is niet onze subverwerker, verwerkt de gegevens volgens de voorwaarden die gelden tussen de app en wie haar gebruikt, en het is aan jou om het gebruik ervan te beoordelen, ook of er sprake is van internationale doorgifte en met welk mechanisme (art. 4 van het Reglement dat is goedgekeurd bij Resolução CD/ANPD nº 19/2024), en de kennisgeving aan de bezoekers (Artikel 6.1, punten 2 en 8, en Bijlage IV). We geven je de informatie waarover we beschikken voor die beoordeling (art. 4, § 1, van hetzelfde Reglement; Artikel 9.6). Elke persoon trekt de eigen koppelingen in via Instellingen → Gekoppelde apps, en de accounteigenaar kan een persoon uit een project verwijderen (Gebruiksvoorwaarden, Artikel 13.3).

11. Export van de events. Op verzoek van de accounteigenaar maakt een routine een gecomprimeerd CSV-bestand aan met alle events die het project bewaart, met de velden van punt 3. Het bestand staat in een privé en versleutelde opslag van AWS in de regio São Paulo en wordt automatisch verwijderd 7 dagen nadat het klaar is. Alleen de accounteigenaar downloadt het bestand, via het dashboard, met een nieuwe link bij elke download, geldig gedurende 5 minuten. Na het downloaden valt het bestand onder jouw verantwoordelijkheid.

Bijlage II — Geldende beveiligingsmaatregelen

Gecontroleerd in de code van de dienst en in de configuratie van de infrastructuur op 14 oktober 2026 en 15 oktober 2026.

1. Privacy by design. Geen cookies op de gemeten websites; IP-adres en volledige browser nooit bewaard; pagina's gereduceerd tot sjablonen; barrière op de server die waarden met de vorm van een e-mailadres en getallen van 10 of meer cijfers verwijdert in de eigenschappen, in de campagneparameters en in de gebruikersidentificatie; staat van de bezoeker, nooit de stad; "niet volgen"-signalen van de browser (Global Privacy Control en Do Not Track) gerespecteerd door de tracker, die niets verzendt wanneer ze zijn ingeschakeld; optie om niet gemeten te worden (optOut) voor de bezoeker; events verwijderd na 13 maanden.

2. Versleuteling tijdens transport. Browser → API: HTTPS met TLS 1.2 of hoger en HSTS van 2 jaar. Distributienetwerk → API-functie: alleen HTTPS (TLS 1.2). Functie → database: TLS met verificatie van het servercertificaat (sslmode=verify-full). Dashboard: alleen HTTPS.

3. Versleuteling in rust. Database van Neon met AES-256; logs van AWS standaard versleuteld; geheimen (wachtwoorden van de database en sleutels van diensten) in AWS Systems Manager Parameter Store, versleuteld, nooit in de code.

4. Toegang tot het dashboard.

• Inloggen zonder wachtwoord: een code van 6 cijfers, gestuurd naar het gemachtigde e-mailadres, 10 minuten geldig, alleen als hash bewaard (SHA-256), met tot 5 pogingen per code en tot 5 codes per uur per e-mailadres; verzoeken om een code beperkt tot 5 per 15 minuten per herkomstadres. Een e-mailadres zonder toegang ontvangt geen code en wordt niet vastgelegd.
• Sessie: willekeurige waarde van 256 bits, in de database alleen als hash bewaard; cookie __Host- met HttpOnly, Secure en SameSite=Lax; maximale duur van 7 dagen en automatisch einde na 24 uur zonder gebruik; de persoon ziet de open sessies, beëindigt ze een voor een of allemaal tegelijk.
• Schrijfhandelingen van het dashboard alleen geaccepteerd vanaf de origin van het dashboard zelf.
• Alleen de accounteigenaar wijzigt projecten, origins, sleutels en personen, vraagt exports aan en heft het account op; de uitgenodigde personen lezen alleen.

5. Isolatie tussen klanten. Elke opvraging wordt gefilterd op het project en op de lijst met personen met toegang daartoe. Wie om een project van een ander vraagt, krijgt een antwoord alsof het niet bestaat. Daarvoor zijn er geautomatiseerde tests.

6. Sleutels en tokens.

• Publieke sleutel (staat op de website): identificeert alleen het project en wordt alleen geaccepteerd wanneer het verzoek komt van een in het project geregistreerde origin.
• Geheime sleutel (alleen op de server van de klant): één keer getoond bij het aanmaken, alleen als hash bewaard, in constante tijd vergeleken, intrekbaar; beperkt tot 60 aanroepen per minuut.
• Toegangstokens (voor agents en programma's): alleen lezen; alleen als hash bewaard; geldigheid van 30, 90 of 365 dagen; tot 10 actief per persoon; op elk moment intrekbaar in het dashboard; beperkt tot 60 opvragingen per minuut en, in de MCP-server van de API, tot 120 berichten per minuut. Ze zijn niet bruikbaar om in te loggen, te schrijven of te verwijderen.
• Koppelingen van apps (Claude-connector): alleen Claude en Claude Code, herkend aan de identificatiedocumenten die Anthropic publiceert, met het retouradres gecontroleerd aan de hand van die documenten; uitdrukkelijke toestemming op een pagina van het dashboard, die de app, het retouradres en de projecten toont; eenmalige code die 5 minuten geldig is en gekoppeld is aan een cryptografisch bewijs (PKCE, S256); toegangsgegeven van 1 uur en vernieuwingsgegeven dat bij elk gebruik wordt vervangen, beide alleen als hash bewaard; een vernieuwingsgegeven dat na vervanging opnieuw wordt aangeboden, beëindigt de koppeling; alleen lezen, via dezelfde opvragingen als het dashboard; tot 10 actieve koppelingen per persoon; einde na 90 dagen zonder gebruik; op elk moment intrekbaar in het dashboard; beperkt tot 120 berichten per minuut in de MCP-server en tot 60 opvragingen per minuut. Ze zijn niet bruikbaar om in te loggen, te schrijven of te verwijderen.

7. Bescherming tegen misbruik. Limiet op het verzenden van batches per herkomstadres en per project; batch met maximaal 50 events en 32 KB; strikte validatie van elk veld; ongeldige events weggegooid; ontvangst gepauzeerd wanneer het account 150% van de maandelijkse eventlimiet bereikt; de technische logs vermelden wanneer een event of een eigenschap is geweigerd en op grond van welke regel, zonder de geweigerde waarde te bewaren.

8. Infrastructuur. De API-functie weigert aanroepen die niet via het distributienetwerk komen (edge-geheim, in constante tijd gecontroleerd). De databasegebruiker van de applicatie kan de structuur van de database niet wijzigen; de migraties gebruiken een aparte gebruiker. Elke functie heeft een eigen rechtenrol in AWS, met het minimaal noodzakelijke.

9. Logs. De logs van de API zijn gestructureerd en bevatten een identificatie van het verzoek, interne identificaties (van het project, van de persoon van het dashboard en van de koppeling), namen van events en, bij koppelingen, welke app zich heeft gekoppeld; ze bevatten geen e-mailadres, IP-adres, token, sleutel of gegevens van bezoekers. Ze blijven 14 dagen bestaan en verdwijnen dan.

10. Monitoring. Alarmen per e-mail bij: veel inlogpogingen met een verkeerde code, veel geweigerde verzoeken om een code, onverwachte fouten van de API, storingen en throttling van de API-functie en de omvang van de database.

11. Ontwikkeling. Openbare code met automatische beveiligingscontrole (CodeQL), scanning op geheimen met blokkering van het verzenden, waarschuwingen en updates van afhankelijkheden, audit van afhankelijkheden en geautomatiseerde tests met volledige dekking bij elke wijziging. De publicatie in productie wordt alleen door de verantwoordelijke gedaan, nadat de tests zijn geslaagd.

12. Back-ups. Die van Neon: herstelgeschiedenis van tot 7 dagen en versleutelde back-ups die tot 30 dagen worden bewaard.

13. Reactie op incidenten. Overeenkomstig Artikel 11, met registratie van elk incident gedurende 5 jaar.

Bijlage III — Subverwerkers

Situatie op 15 oktober 2026.

Subverwerkers die gegevens van de bezoekers van je websites verwerken:

Providers die geen gegevens van de bezoekers ontvangen (vermeld voor de transparantie; de verwerking die zij uitvoeren, staat in het Privacybeleid van Pyxis):

Apps die de personen met toegang koppelen (geen subverwerkers; Bijlage I, punt 10):

Stuur geen gegevens van bezoekers in supportberichten. Als je een geval moet laten zien, gebruik dan de identificatie van het bezoek of van de gebruiker, nooit de naam of het e-mailadres van de persoon.

Bijlage IV — Model van een kennisgeving voor je website

Voorgestelde tekst voor het privacybeleid van je website. Pas hem aan aan wat je website werkelijk verzendt. Hij vervangt je eigen analyse niet.

Meting van het gebruik van de website

We gebruiken Pyxis om te begrijpen hoe de website wordt gebruikt: welke pagina's worden bekeken, waar de bezoeken vandaan komen en welke functies worden gebruikt. De meting gebruikt geen cookies, bewaart je IP-adres niet en bewaart je volledige browser niet. We registreren de bekeken pagina (zonder de parameters van het adres, behalve die van campagnes), de website waar je vandaan kwam, het type apparaat, de familie van de browser en van het besturingssysteem, het land en de staat (nooit de stad) en de acties die we op de website hebben gemarkeerd. Elk bezoek krijgt een willekeurig nummer dat alleen in het browsertabblad staat en wordt weggegooid bij het sluiten van het tabblad of na 30 minuten zonder activiteit; er is geen identificatie die je bij een ander bezoek herkent.

(Neem de onderstaande alinea alleen op als je website de functie identify gebruikt.) Wanneer je inlogt op je account, koppelen we de events van dat bezoek aan het interne nummer van je account, nooit aan je naam of e-mailadres. Als je je account verwijdert of erom vraagt, verwijderen we die events.

(Optioneel: neem dit op als je team tools voor kunstmatige intelligentie aan Pyxis koppelt.) We kunnen deze cijfers raadplegen met tools voor kunstmatige intelligentie die we kiezen, zoals Claude, van Anthropic, die alleen ontvangen wat we hun vragen.

De gegevens worden in Brazilië opgeslagen en na 13 maanden verwijderd. Pyxis verwerkt deze gegevens voor onze rekening, als verwerker. Als je browser het signaal Global Privacy Control of "Do Not Track" verzendt, wordt er niets verzonden. Neem voor de uitoefening van je rechten op grond van de LGPD contact met ons op via het kanaal dat in dit beleid wordt vermeld.