Stand: 21. Oktober 2026
Diese Übersetzung dient der Information; bei Abweichungen gilt die englische Fassung.
Dieser Vertrag ist Teil der Nutzungsbedingungen zwischen Ihnen, dem Kunden, und LF Consultoria de Desenvolvimento e Operacional Ltda, CNPJ 58.117.575/0001-79, Av. Presidente Getúlio Vargas, 1605, Loja 09, Bairro Novo, Olinda, PE, 53030-010, Brasil („Korzen“). Er gilt immer, wenn Korzen personenbezogene Daten für Sie verarbeitet, um Bot Protection zu erbringen, und wird mit den Bedingungen angenommen; brauchen Sie eine unterschriebene Fassung, schreiben Sie an contact@korzen.dev. Widersprechen sich dieser Vertrag und die Bedingungen bei personenbezogenen Daten, gilt dieser Vertrag.
1. Rollen
Sie sind Verantwortlicher für die personenbezogenen Daten Ihrer Besucher; Korzen ist Ihr Auftragsverarbeiter (in den Worten der LGPD sind Sie der controlador und Korzen der operador). Korzen verarbeitet sie nur auf Ihre dokumentierten Weisungen: diese Bedingungen, Ihre Einstellungen und die API-Aufrufe Ihres Servers. Scheint eine Weisung gegen das Gesetz zu verstoßen, sagt Korzen es Ihnen.
2. Was verarbeitet wird
| Zweck | Menschen von Bots auf Ihren Websites und bei der Registrierung einen wiederkehrenden Browser von einem neuen unterscheiden und Ihnen zeigen, warum, damit Sie Registrierungen, Logins, Checkouts und andere Aktionen schützen können |
|---|---|
| Betroffene Personen | die Besucher Ihrer Websites, auf denen Sie den Tag einsetzen oder die API aufrufen |
| Daten | IP-Adresse sowie das daraus abgeleitete Netzwerk, Land und Subnetz; User-Agent und Anfrage-Header, einschließlich TLS- und HTTP-Fingerprints vom Edge; Pfade, Methoden, Statuscodes und Timing der Anfragen, die Sie melden; Browsersignale, die der Tag liest, zum Beispiel Bildschirm- und Fenstergröße, Grafik-Renderer, ein Canvas-Hash, Merkmale des Geräts (CPU-Kerne, Arbeitsspeicher, Touchpunkte), Zeitzone und Sprachen, Client Hints, Automatisierungsmerkmale, Netzwerk-Umlaufzeiten sowie Arten und Anzahl von Eingabe-Events, nie das Getippte; die öffentliche IP-Adresse, die der Browser über WebRTC zeigt, nur wo Sie sie mit der Einstellung data-stun des Tags einschalten; der Session-Token des Tags und eine zufällige Browser-Kennung; und was Sie über ein Ergebnis senden, etwa dass ein Konto bestätigt wurde |
| Besondere Kategorien | keine; senden Sie keine |
| Dauer | solange Ihr Konto besteht, dann Löschung wie in Abschnitt 9 |
Die Challenge-Seite. Markiert Ihr Server eine Aktion mit require_token und hat ein Besucher kein gültiges Token, wird er auf die Challenge-Seite von Korzen auf korzen.dev geschickt, die Korzens eigenen Tag unter Korzens eigenem Konto ausführt, bevor sie ihn zu Ihrer Aktion weiterlässt. Was dieser Tag liest (die Browsersignale oben, das Sitzungstoken des Tags und die Browserkennung), verarbeitet Korzen als Verantwortlicher, nach seiner Datenschutzerklärung, nur um festzustellen, ob die Seite in einem echten Browser lief, und um Skripte von ihr fernzuhalten; der Durchlass und Ihre Entscheidung werden für Sie verarbeitet, nach diesem Vertrag. Der Tag behält auf dieser Seite für jeden Kunden, der einen Besucher dorthin schickt, eigene Kennungen, sodass sie einen Browser nicht über Kunden hinweg verknüpfen.
3. Wie sie aufbewahrt werden
- Kennungen (IP-Adressen, Sessions, Browser) werden nur als schlüsselbasierte Hashes aufbewahrt, unter Ihren eigenen Schlüsseln, von denen die meisten täglich wechseln; Korzen speichert keine rohen IP-Adressen.
- Der Arbeitsspeicher zu einem Besucher umfasst seine letzten zehn Minuten: Jeder Eintrag verfällt 20 Minuten nach seiner letzten Nutzung. Die Aufgabe einer Challenge verfällt nach 10 Minuten und ihr Durchlass nach 30; ein Token, das für eine Aktion verbraucht wurde, die eines verlangt, wird als schlüsselbasierter Hash eine Stunde aufbewahrt.
- Jede Entscheidung, mit Pfad, Land und Gründen, wird für Ihr Dashboard so lange aufbewahrt wie der Entscheidungsverlauf Ihres Plans: 7 Tage im kostenlosen Test, bis zu 90 Tage bei Scale.
- Was Feedback über eine Session festgestellt hat (bestätigt, widerrufen), wird bis zu 400 Tage aufbewahrt, nachdem sie zuletzt gesehen wurde. Eine Session geht weiter, solange derselbe Browser das Token des Tags behält und wiederkommt.
- Die Browser-Kennung des Tags, gesehen bei einer Aktion, zu der Ihr Server fragt (eine Registrierung, ein Login, ein Checkout), wird als schlüsselbasierter Hash unter einem eigenen Schlüssel aufbewahrt, der nicht wechselt, mit dem ersten und letzten Mal, an dem sie dort gesehen wurde, und wie viele Sessions sie brachten, bis zu 90 Tage, nachdem sie zuletzt auf dieser Seite gesehen wurde, damit ein Besucher erkannt wird, der vom selben Browser ein weiteres Konto eröffnet. Welche Ihrer Seiten Registrierungen sind, lernt Korzen allein aus diesen Hashes.
- Ihre Daten werden nie mit denen eines anderen Kunden vermischt oder für einen anderen Zweck als Ihren Schutz genutzt. Korzen darf Zählwerte und Regelergebnisse ohne personenbezogene Daten nutzen, um seine Regeln zu verbessern.
4. Vertraulichkeit
Nur die Menschen, die Korzen betreiben, greifen auf personenbezogene Daten zu, nur soweit der Dienst es erfordert, und unter einer Verschwiegenheitspflicht.
5. Sicherheit
Korzen trifft dem Risiko angemessene technische und organisatorische Maßnahmen (Artikel 32 DSGVO, Artikel 46 LGPD), mindestens:
- TLS auf jeder Verbindung; API keys und Session-Tokens signiert und bei jeder Anfrage geprüft;
- schlüsselbasiertes Hashing von Kennungen, mit Schlüsseln pro Kunde, die meisten täglich rotiert;
- Server in der EU hinter einer Firewall, nur per SSH-Schlüssel administriert; Dashboard-Konten mit gesalzenen Passwort-Hashes und Zwei-Faktor-Anmeldung;
- verschlüsselte Backups mit Point-in-Time-Recovery, innerhalb von 35 Tagen ersetzt;
- automatisierte Tests, statische Analyse und Secret-Scanning bei jeder Änderung, und aktuell gehaltene Abhängigkeiten.
6. Unterauftragsverarbeiter
Sie ermächtigen Korzen, die Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter einzusetzen. Korzen verpflichtet jeden auf Datenschutzbedingungen, die mindestens so schützend sind wie diese, und bleibt für sie verantwortlich. Korzen kündigt einen neuen Unterauftragsverarbeiter auf dieser Seite und per E-Mail mindestens 30 Tage vor seinem Beginn an; widersprechen Sie aus berechtigten Datenschutzgründen und können wir das nicht lösen, können Sie Ihr Konto schließen und erhalten eine Erstattung jedes noch nicht genutzten vorausbezahlten Zeitraums.
7. Übermittlungen
Personenbezogene Daten werden in der Europäischen Union verarbeitet. Wo ein Unterauftragsverarbeiter sie anderswo verarbeitet, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder auf die Standardvertragsklauseln der Europäischen Kommission (und, für Brasilien, die von der ANPD genehmigten), die durch Verweis einbezogen sind.
8. Unterstützung
- Anfragen von Besuchern: Korzen informiert Sie über jede Anfrage, die es zu Ihren Besuchern erhält, und hilft Ihnen, sie zu beantworten. Ihr Dashboard findet die Entscheidungen zu einem Besucher über seine IP-Adresse, seinen User-Agent oder eine
request_id, solange Ihr Plan sie aufbewahrt; so beantworten Sie ein Auskunftsersuchen. Ohne eines davon sind Entscheidungen verschiedener Tage nicht verknüpft, da sich die meisten Hashes täglich ändern. Ein Inhaber löscht sie dort auch: Suchen Sie den Besucher auf der Seite Entscheidungen und wählen Sie Entscheidungen zu diesem Besucher löschen; das löscht sofort jede gespeicherte Entscheidung, die die Suche findet. Auf Ihre schriftliche Anfrage erledigt Korzen das innerhalb von 30 Tagen für Sie. Korzen bewahrt jede Löschung 35 Tage lang als die schlüsselbasierten Hashes auf, nach denen gelöscht wurde, damit eine Wiederherstellung aus einem Backup diese Entscheidungen erneut löscht. - Datenpannen: Korzen informiert Sie unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, über eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, mit dem, was es weiß und was es unternimmt.
- Folgenabschätzungen: Korzen gibt Ihnen die Informationen, die Sie für eine Datenschutz-Folgenabschätzung oder eine Konsultation mit einer Behörde brauchen.
- Audits: Korzen beantwortet angemessene schriftliche Fragen zu seiner Einhaltung und stellt die Informationen bereit, die nötig sind, um sie nachzuweisen. Ein Audit vor Ort, falls das Gesetz eines verlangt, wird im Voraus vereinbart, auf Ihre Kosten, unter Vertraulichkeit.
9. Wenn er endet
Wird Ihr Konto geschlossen, löscht Korzen die personenbezogenen Daten Ihrer Besucher innerhalb von 30 Tagen; Backups ersetzen sie innerhalb weiterer 35. Der Arbeitsspeicher verfällt von selbst innerhalb von Minuten.
10. Ihr Teil
Sie stellen sicher, dass Sie die Daten verarbeiten lassen dürfen: Sie informieren Ihre Besucher in Ihrer Datenschutzerklärung, Sie entscheiden, ob Bot Protection für den von ihnen angeforderten Dienst unbedingt erforderlich ist oder nach den ePrivacy-Regeln ihre Einwilligung braucht, und Sie senden nur die Daten, nach denen die API fragt.