Data Processing Agreement (DPA)
De DPA regelt de rol van Snorklee als verwerker wanneer de dienst het publiek van een klantensite meet. De klant blijft verwerkingsverantwoordelijke: hij beslist Snorklee te gebruiken, kiest de gemeten sites, configureert de verzonden events en informeert zijn bezoekers.
Deze pagina legt de DPA in gewone taal uit. De operationele versie, gegenereerd en ondertekenbaar via het tabblad Compliance van het dashboard, heeft voorrang bij afwijkingen.
Doel van de verwerking
Snorklee verwerkt geminimaliseerde gegevens om de klant publieksstatistieken, technische rapporten, exports, analysefuncties op aggregaten en compliance-documenten te leveren.
De verwerking is beperkt tot levering, beveiliging, onderhoud en support van de dienst.
Uitgesloten doelen zijn duidelijk:
- geen gedragsgerichte advertenties;
- geen verkoop of advertentiedeling van publieksgegevens;
- geen cross-site matching;
- geen session replay;
- geen individuele heatmap;
- geen import van bezoekers-CRM;
- geen advertentieverrijking;
- geen individuele bezoekerstimeline.
Betrokken gegevens
De hoofdcategorieën zijn bezochte pagina's, toegestane events, verwijzende domeinen, verkeersbron, land of regio volgens configuratie, browserfamilies, apparaattype, besturingssysteem, taal, technische fouten, geaggregeerde scroll- of kliksigalen en statistische tellers.
Campagneparameters worden niet gebruikt om cross-site tracking of een advertentieprofiel te maken.
Het IP-adres en de User-Agent kunnen tijdelijk bij ingestie worden gebruikt om te geolokaliseren, browser of apparaat te classificeren, misbruik te detecteren of bepaalde crawlers te herkennen, maar zij worden niet ruw opgeslagen in analytics-events.
De klant mag in Snorklee-events of -eigenschappen geen gevoelige gegevens, namen, e-mails, telefoonnummers, postadressen, klant-ID's, advertentie-click-ID's, secrets, tokens of andere rechtstreeks identificerende gegevens verzenden. Custom events moeten technisch of zakelijk blijven.
Beveiliging en verwerkers
Snorklee implementeert technische en organisatorische maatregelen om gegevens te beschermen: TLS, toegangscontrole, rollenscheiding op applicatieniveau (ingest / lezen), beperkte logs, korte bewaartermijn voor ruwe events, verwijdering van de site op verzoek en documentatie van verwerkers.
De belangrijkste verwerkers worden vermeld in het privacybeleid, de DPA en de documenten die via het tabblad Compliance worden gegenereerd. Zij dekken onder meer hosting, geolocatie, transactionele e-mail, betaling, optionele AI op aggregaten en bepaalde publieke audits.
De lijst kan met redelijke kennisgeving wijzigen wanneer de wijziging significant is.
Ondersteuning van de klant
Snorklee ondersteunt de klant bij verzoeken om toegang, wissing, export, informatie over verwerkers, beveiligingsdocumentatie en, waar van toepassing, bij de beantwoording van rechtenverzoeken.
Bij gebrek aan een stabiele bezoekersidentificatie kan Snorklee een individuele persoon niet altijd terugvinden in statistieken. Afhankelijk van de context kan een verzoek worden behandeld per tijdsperiode, door verwijdering van een event als de klant het op een andere manier kan identificeren, of door verwijdering van de site.
De klant blijft het primaire aanspreekpunt voor de eindbezoeker.
Termijnen
Ruwe events worden 90 dagen bewaard. Analytics-aggregaten worden tot 25 maanden bewaard. Na opzegging kunnen sitegegevens 30 dagen worden bewaard om herstel mogelijk te maken en daarna volgens de voorziene procedures worden verwijderd.
AI
Wanneer de klant AI-functies gebruikt, verzendt Snorklee alleen de aggregaten die nodig zijn voor de samenvatting of het antwoord: indicatoren, trends, pagina's, kanalen of perioden. In dit kader mogen geen ruw IP-adres, bezoekersidentificator, individuele eventregel of rechtstreeks identificerende gegevens naar de AI-engine worden verzonden.
AI wordt geactiveerd op verzoek van de klant, tenzij een expliciet anders gedocumenteerde configuratie geldt.
Als de klant de optionele module voor het meten van AI-zichtbaarheid inschakelt, worden vragen die zijn opgesteld op basis van de openbare inhoud van zijn site (nooit bezoekersgegevens) verzonden naar de bevraagde aanbieders van AI-assistenten — OpenAI, Google, Perplexity en Anthropic (Verenigde Staten) — om de aanwezigheid van het merk in hun antwoorden te meten. Deze module is standaard uitgeschakeld en berust op de keuze van de klant.
CCPA/CPRA-addendum
De DPA kan een CCPA/CPRA-addendum bevatten wanneer de klant dit activeert via het tabblad Compliance. Deze bijlage documenteert de rol van Snorklee als service provider voor publieksmeting, het ontbreken van verkoop of advertentiedeling van Snorklee-publieksgegevens en het beperkte doel van de verwerking.
Dit addendum dekt uitsluitend de Snorklee-scope. Andere tools op de site van de klant moeten afzonderlijk worden beoordeeld.
Ondertekening
De operationele versie van de DPA wordt gegenereerd en ondertekend via het tabblad Compliance van het dashboard. Deze pagina legt de inhoud in gewone taal uit; het ondertekende document heeft voorrang bij afwijkingen.
Het dashboard kan een bewijsblad van ondertekening genereren, met tijdstempel, identiteit van de ondertekenaar en documentvingerafdruk, afhankelijk van beschikbare functies.