Laatst bijgewerkt: 21 oktober 2026
Deze vertaling is bedoeld ter informatie; bij verschillen geldt de Engelse versie.
Deze overeenkomst maakt deel uit van de algemene voorwaarden tussen jou, de klant, en LF Consultoria de Desenvolvimento e Operacional Ltda, CNPJ 58.117.575/0001-79, Av. Presidente Getúlio Vargas, 1605, Loja 09, Bairro Novo, Olinda, PE, 53030-010, Brasil ("Korzen"). Ze geldt telkens wanneer Korzen persoonsgegevens voor jou verwerkt om Bot Protection te leveren, en wordt samen met de voorwaarden aanvaard; heb je een ondertekend exemplaar nodig, mail dan naar contact@korzen.dev. Spreken deze overeenkomst en de voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.
1. Rollen
Jij bent de verwerkingsverantwoordelijke voor de persoonsgegevens van je bezoekers; Korzen is je verwerker (in de woorden van de LGPD ben jij de controlador en Korzen de operador). Korzen verwerkt ze alleen volgens je gedocumenteerde instructies: deze voorwaarden, je instellingen, en de API-calls die je server doet. Lijkt een instructie de wet te schenden, dan laat Korzen je dat weten.
2. Wat er wordt verwerkt
| Doel | mensen van bots onderscheiden op je sites, en bij een aanmelding een terugkerende browser van een nieuwe, en je laten zien waarom, zodat je registraties, logins, checkouts en andere acties kunt beschermen |
|---|---|
| Betrokkenen | de bezoekers van je sites waar je de tag gebruikt of de API aanroept |
| Gegevens | IP-adres, en het netwerk, land en subnet die daaruit worden afgeleid; User-Agent en requestheaders, waaronder TLS- en HTTP-fingerprints van de edge; paden, methoden, statuscodes en timing van requests die je meldt; browsersignalen die de tag leest, bijvoorbeeld scherm- en venstergrootte, grafische renderer, een canvas-hash, kenmerken van het apparaat (CPU-kernen, geheugen, aanraakpunten), tijdzone en talen, client hints, automatiseringskenmerken, netwerkrondetijden, en soorten en aantallen invoergebeurtenissen, nooit wat er wordt getypt; het openbare IP-adres dat de browser via WebRTC toont, alleen waar je het aanzet met de instelling data-stun van de tag; de sessietoken van de tag en een willekeurige browseridentificator; en wat je stuurt over een uitkomst, zoals een account dat is geverifieerd |
| Bijzondere categorieën | geen; stuur er geen |
| Duur | zolang je account open is, daarna verwijdering zoals in artikel 9 |
De challengepagina. Als je server een actie markeert met require_token en een bezoeker geen geldig token heeft, wordt de bezoeker naar de challengepagina van Korzen op korzen.dev gestuurd, die de eigen tag van Korzen draait, onder het eigen account van Korzen, voordat die hem doorlaat naar je actie. Wat die tag leest (de browsersignalen hierboven, het sessietoken van de tag en de identificator van de browser) verwerkt Korzen als verwerkingsverantwoordelijke, onder zijn privacybeleid, alleen om te weten of de pagina in een echte browser draaide en om scripts ervan te weren; de doorgang en je beslissing worden voor jou verwerkt, onder deze overeenkomst. De tag houdt op die pagina aparte identificatoren voor elke klant die er een bezoeker heen stuurt, dus die koppelen één browser niet over klanten heen.
3. Hoe het wordt bewaard
- Identificatoren (IP-adressen, sessies, browsers) worden alleen bewaard als keyed hashes, onder keys die alleen voor jou gelden en waarvan de meeste elke dag veranderen; Korzen slaat geen onbewerkte IP-adressen op.
- Het werkgeheugen over een bezoeker beslaat de laatste tien minuten: elk record verloopt 20 minuten nadat het voor het laatst is gebruikt. De puzzel van een challenge verloopt na 10 minuten en de doorgang ervan na 30; een token dat is gebruikt voor een actie die er een eist, wordt als hash met sleutel een uur bewaard.
- Elke beslissing, met pad, land en redenen, wordt voor je dashboard bewaard zolang de beslissingsgeschiedenis van je abonnement: 7 dagen in de gratis proefperiode, tot 90 dagen op Scale.
- Wat feedback over een sessie heeft vastgesteld (geverifieerd, ingetrokken) wordt bewaard tot 400 dagen nadat die sessie voor het laatst is gezien. Een sessie loopt door zolang dezelfde browser het token van de tag bewaart en terugkomt.
- De browser-id van de tag, gezien bij een actie waarover je server vraagt (een aanmelding, een login, een checkout), wordt bewaard als hash met sleutel, onder een eigen sleutel die niet wisselt, met wanneer die daar voor het eerst en het laatst is gezien en hoeveel sessies hem brachten, tot 90 dagen nadat hij voor het laatst op die pagina is gezien, zodat een bezoeker die vanuit dezelfde browser nog een account opent wordt herkend. Welke van je pagina's aanmeldingen zijn, leert Korzen alleen uit die hashes.
- Je gegevens worden nooit vermengd met die van een andere klant, en nergens anders voor gebruikt dan jouw bescherming. Korzen mag aantallen en regelresultaten zonder persoonsgegevens gebruiken om zijn regels te verbeteren.
4. Vertrouwelijkheid
Alleen de mensen die Korzen beheren hebben toegang tot persoonsgegevens, alleen voor zover de dienst dat vereist, en onder een geheimhoudingsplicht.
5. Beveiliging
Korzen neemt technische en organisatorische maatregelen die passen bij het risico (artikel 32 AVG, artikel 46 LGPD), ten minste:
- TLS op elke verbinding; API keys en sessietokens ondertekend en bij elke request gecontroleerd;
- keyed hashing van identificatoren, met keys per klant, waarvan de meeste dagelijks worden geroteerd;
- servers in de EU achter een firewall, alleen beheerd via SSH-key; dashboardaccounts met gesalte wachtwoordhashes en tweestapsverificatie;
- versleutelde back-ups met point-in-time recovery, binnen 35 dagen vervangen;
- geautomatiseerde tests, statische analyse en scannen op secrets bij elke wijziging, en dependencies die up-to-date worden gehouden.
6. Subverwerkers
Je geeft Korzen toestemming de subverwerkers op de lijst van subverwerkers in te schakelen. Korzen bindt elk van hen aan gegevensbeschermingsvoorwaarden die minstens zo beschermend zijn als deze, en blijft voor hen verantwoordelijk. Korzen kondigt een nieuwe subverwerker op die pagina en per e-mail aan, minstens 30 dagen voordat die begint; maak je op redelijke gronden van gegevensbescherming bezwaar en kunnen we dat niet oplossen, dan kun je je account sluiten en krijg je elke vooruitbetaalde, nog niet gebruikte periode terugbetaald.
7. Doorgifte
Persoonsgegevens worden in de Europese Unie verwerkt. Verwerkt een subverwerker ze elders, dan berust de doorgifte op een adequaatheidsbesluit of op de standaardcontractbepalingen van de Europese Commissie (en, voor Brazilië, die welke door de ANPD zijn goedgekeurd), die door verwijzing in deze overeenkomst zijn opgenomen.
8. Hulp aan jou
- Verzoeken van bezoekers: Korzen meldt je elk verzoek dat het over je bezoekers ontvangt en helpt je het te beantwoorden. Je dashboard vindt de beslissingen over een bezoeker op zijn IP-adres, zijn User-Agent of een
request_id, zolang je plan ze bewaart; zo beantwoord je een inzageverzoek. Zonder een van die drie zijn beslissingen van verschillende dagen niet gekoppeld, omdat de meeste hashes elke dag veranderen. Een eigenaar verwijdert ze daar ook: zoek de bezoeker op de pagina Beslissingen en kies Beslissingen over deze bezoeker verwijderen, wat meteen elke bewaarde beslissing verwijdert die de zoekopdracht vindt; op je schriftelijke verzoek doet Korzen het binnen 30 dagen voor je. Korzen bewaart van elke verwijdering 35 dagen een register, als de hashes met sleutel waarop het verwijderde, zodat een herstel uit een back-up die beslissingen opnieuw verwijdert. - Datalekken: Korzen meldt je zonder onredelijke vertraging, en binnen 48 uur nadat het ervan op de hoogte is, een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, met wat het weet en wat het eraan doet.
- Beoordelingen: Korzen geeft je de informatie die je nodig hebt voor een gegevensbeschermingseffectbeoordeling of een raadpleging van een toezichthouder.
- Audits: Korzen beantwoordt redelijke schriftelijke vragen over zijn naleving en stelt de informatie beschikbaar die nodig is om die aan te tonen. Een audit ter plaatse, als de wet die vereist, wordt vooraf afgesproken, op jouw kosten, onder geheimhouding.
9. Bij beëindiging
Wordt je account gesloten, dan verwijdert Korzen de persoonsgegevens van je bezoekers binnen 30 dagen; back-ups vervangen ze binnen nog eens 35 dagen. Het werkgeheugen verloopt vanzelf binnen enkele minuten.
10. Jouw rol
Je zorgt ervoor dat je de gegevens mag laten verwerken: je informeert je bezoekers in je privacyverklaring, je beslist of Bot Protection strikt noodzakelijk is voor de dienst waar ze om vroegen of onder de ePrivacy-regels hun toestemming vereist, en je stuurt alleen de gegevens waar de API om vraagt.