Privacybeleid

Laatst bijgewerkt: 29 juillet 2026 (2)

Expeteo SARL, exploitant van het merk Pulsar (hierna "Pulsar", "wij"), hecht bijzonder belang aan de bescherming van persoonsgegevens. Dit beleid beschrijft hoe de gegevens worden verwerkt in het kader van de dienst Pulsar Analytics (analytics.pulsar.lu), overeenkomstig Verordening (EU) 2016/679 ("AVG"), richtlijn 2002/58/EG ("ePrivacy") en, voor betrokkenen in Zwitserland, de Zwitserse federale wet op de gegevensbescherming ("nLPD").

Dit beleid onderscheidt twee luiken die overeenstemmen met twee verschillende juridische rollen:

Luik A: de gegevens van de klanten en gebruikers van Pulsar (accounts, facturatie). De Uitgever is verwerkingsverantwoordelijke.
Luik B: de publieksgegevens die via de Pulsar-pixel op de websites van onze klanten worden verzameld. De Uitgever treedt op als verwerker (artikel 28 AVG), voor rekening van de klant, die verwerkingsverantwoordelijke is.

Contactgegevens

Verwerkingsverantwoordelijke (luik A): Expeteo SARL, Op der Haart 28, L-9999 Wemperhardt, Luxembourg. RCS Luxemburg: B212614.
Contactpunt gegevensbescherming: privacy@pulsar.lu.
Bij gebrek aan een aangestelde functionaris voor gegevensbescherming (DPO) fungeert het bovenstaande contactpunt als aanspreekpunt voor elke vraag over gegevens.

Luik A: gegevens van de klanten en gebruikers van Pulsar

Voor deze verwerkingen is Expeteo SARL verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG.

A.1. Beheer van de accounts en levering van de Dienst

Doel: aanmaken en beheren van het account, authenticatie, levering en administratie van de Dienst, ondersteuning.
Rechtsgrond: uitvoering van de overeenkomst (artikel 6, lid 1, punt b, AVG).
Categorieën gegevens: identiteit, e-mailadres, inloggegevens, configuratiegegevens, technische verbindingslogs.
Ontvangers: gemachtigd personeel van de Uitgever; hostingpartij (Infomaniak Network SA).
Bewaartermijn: duur van de contractuele relatie, daarna beperkte tussentijdse archivering voor bewijsdoeleinden en wettelijke verplichtingen.

A.2. Facturatie en betaling

Doel: beheer van de abonnementen, facturatie, inning, fraudepreventie.
Rechtsgrond: uitvoering van de overeenkomst (art. 6.1.b) en wettelijke boekhoudkundige en fiscale verplichtingen (art. 6.1.c).
Categorieën gegevens: facturatiegegevens (maatschappelijke naam, adres, btw-nummer), abonnementshistoriek, transactiegegevens. Bankkaartgegevens worden rechtstreeks door Stripe verwerkt; de Uitgever heeft geen toegang tot het volledige kaartnummer.
Ontvangers: Stripe (Stripe Payments Europe, Limited); de boekhouder en de belastingadministratie in voorkomend geval.
Bewaartermijn: de boekhoudkundige stukken worden bewaard gedurende de in Luxemburg toepasselijke wettelijke termijn (tien jaar).

A.3. Communicatie en verbetering van de Dienst

Doel: informatie over de Dienst, beantwoording van vragen, verbetering en beveiliging.
Rechtsgrond: gerechtvaardigd belang (art. 6.1.f); uitvoering van de overeenkomst voor communicatie over de Dienst. Elke commerciële prospectie langs elektronische weg berust op toestemming of gerechtvaardigd belang onder de voorwaarden van de ePrivacy-richtlijn.
Bewaartermijn: de tijd die voor het doel nodig is, daarna verwijdering of anonimisering.

A.4. Gratis conformiteitsanalyse (scanner)

Doel: het resultaat leveren aan wie de analyse aanvraagt, vervolgens het gebruik van de tool volgen en de uitgevoerde controles verbeteren.
Rechtsgrond: gerechtvaardigd belang (artikel 6, lid 1, punt f, AVG) bij inzicht in het gebruik van een gratis ter beschikking gestelde openbare tool.
Categorieën gegevens: de geanalyseerde domeinnaam, de datum, de score en de aard van de vastgestelde punten. Het volledige adres van de pagina, de URL-parameters en het IP-adres van de aanvrager worden niet bewaard. Een bedrijfsdomeinnaam is in beginsel geen persoonsgegeven; hij kan het worden wanneer hij overeenkomt met de naam van een natuurlijke persoon.
Ontvangers: gemachtigd personeel van de Uitgever. Geen doorgifte aan derden, geen doorverkoop.
Bewaartermijn: twaalf maanden vanaf de analyse, daarna automatische verwijdering.
Bezwaar: verwijdering van een analyse kan op elk moment worden gevraagd via privacy@pulsar.lu, met vermelding van het betrokken domein.

A.5. Wettelijke verplichtingen en geschillenbeheer

Naleving van wettelijke verplichtingen en verdediging van rechten in rechte. Rechtsgrond: wettelijke verplichting (art. 6.1.c) en gerechtvaardigd belang (art. 6.1.f). Bewaring gedurende de toepasselijke verjaringstermijnen.

A.6. Ontvangers en verwerkers

Infomaniak Network SA (Zwitserland): hosting.
Stripe Payments Europe, Limited (Ierland, EU): verwerking van de betalingen.
In voorkomend geval, in de Europese Unie gevestigde dienstverleners voor ondersteuning en e-mailing.

A.7. Doorgiften buiten de Europese Unie

De applicatieserver en de verzamelserver bevinden zich in Zwitserland, dat een adequaatheidsbesluit van de Europese Commissie geniet. De facturatiegegevens worden in de Europese Unie verwerkt, bij Stripe (Ierland). Wordt een dienstverlener ingeschakeld die gegevens buiten de Europese Economische Ruimte zou kunnen doorgeven zonder adequaatheidsbesluit, dan worden dergelijke verrichtingen omkaderd door passende waarborgen in de zin van de artikelen 44 tot 49 AVG, met name modelcontractbepalingen.

A.8. Rechten van de betrokkenen

Overeenkomstig de artikelen 15 tot 22 AVG beschikt elke betrokkene over de volgende rechten:

recht op inzage (artikel 15);
recht op rectificatie (artikel 16);
recht op wissing (artikel 17);
recht op beperking van de verwerking (artikel 18);
recht op overdraagbaarheid van de gegevens (artikel 20);
recht van bezwaar (artikel 21), met name tegen verwerkingen op grond van gerechtvaardigd belang.

Deze rechten worden uitgeoefend door te schrijven naar privacy@pulsar.lu. Er wordt geantwoord binnen de door de AVG voorziene termijnen (in beginsel één maand, verlengbaar). Bij redelijke twijfel kan een identiteitsbewijs worden gevraagd.

A.9. Klacht bij een toezichthoudende autoriteit

in Luxemburg: Commission nationale pour la protection des données (CNPD), 15, boulevard du Jazz, L-4370 Belvaux, Luxemburg, cnpd.public.lu;
of bij de toezichthoudende autoriteit van de lidstaat van de verblijfplaats, de werkplek of de plaats van de vermeende inbreuk;
voor betrokkenen in Zwitserland: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, CH-3003 Bern.

Luik B: via de Pulsar-pixel verzamelde publieksgegevens

Voor deze verwerkingen treedt de Uitgever op als verwerker (artikel 28 AVG), voor rekening van zijn klant, die verwerkingsverantwoordelijke is. De klant bepaalt de doeleinden en de middelen van de publieksmeting van zijn eigen websites; de Uitgever verwerkt de gegevens uitsluitend volgens diens gedocumenteerde instructies.

B.1. Aard van de verzameling: publieksmeting zonder cookies

De Pulsar-pixel is ontworpen volgens het beginsel van gegevensbescherming door ontwerp (artikel 25 AVG):

Geen cookie, geen opslag op het toestel van de Bezoeker (noch cookie, noch localStorage).
IP-adres: uitsluitend op serverniveau gebruikt om een landcode en een plaatsnaam af te leiden, daarna onmiddellijk ingekort en geanonimiseerd. Nooit in leesbare vorm bewaard.
Bestelgegevens (webshops, na activering): bestelnummer, bedrag, munt en productnamen. Geen enkel klantgegeven wordt doorgestuurd: geen naam, adres of e-mail. Het bestelnummer dient voor de boekhoudkundige koppeling en om dubbeltelling te vermijden.
Interactie met formulieren: namen van de benaderde velden en de volgorde ervan, om te zien welke velden doen afhaken. Geen enkele ingevulde waarde wordt gelezen of doorgestuurd, en wachtwoordvelden worden zelfs qua naam genegeerd.
Bezoekersidentificator: een dagelijks roterende en niet-blijvende hash (levensduur van minder dan 24 uur), berekend met een geheime salt. Hij laat niet toe een persoon van de ene dag op de andere of van de ene sessie naar de andere te volgen.
Scheiding per website: elke website is afgescheiden, kruising tussen websites is onmogelijk. Geen advertentieprofiel, geen retargeting.
Geen fingerprinting: geen canvas/WebGL en geen combinatie van individualiserende attributen.
Geaggregeerde gegevens: de weergegeven statistieken bevatten geen rechtstreeks identificerende gegevens.

Heatmaps (per website activeerbare optie). De klant kan, website per website, een meting van geaggregeerde heatmaps inschakelen: de positie van de kliks en een steekproef van cursorbewegingen worden per cel en per pagina geteld, zonder enige identificator en zonder mogelijkheid om de navigatie van een individu te reconstrueren (in tegenstelling tot een sessieopname, die Pulsar niet uitvoert). Formuliervelden en met data-pulsar-mask gemarkeerde zones worden van de meting uitgesloten; geen invoer, geen veldinhoud wordt verzameld. Deze meting blijft zonder cookie en zonder opslag op het toestel van de Bezoeker. Een voorbeeldweergave van de publieke pagina kan aan serverzijde worden vastgelegd om als achtergrond voor de heatmaps te dienen.

B.2. Doel, rechtsgrond en rol van de partijen

Doel: geaggregeerde publieksmeting van de websites van de klant, uitsluitend voor statistische doeleinden, met uitsluiting van elk gebruik voor reclame, personalisatie of retargeting.
Rechtsgrond: bepaald door de klant, verwerkingsverantwoordelijke, op grond van artikel 6 AVG (in de praktijk het gerechtvaardigd belang voor de strikt statistische meting, of de toestemming wanneer de klant die vereist acht).
Rol van de Uitgever: verwerker die handelt op gedocumenteerde instructie van de klant.

B.3. Vrijstelling van toestemming krachtens artikel 5.3 van de ePrivacy-richtlijn

De Pulsar-pixel slaat geen informatie op en leest er geen op het toestel van de Bezoeker buiten wat strikt noodzakelijk is, en gebruikt geen cookie en geen stabiele identificator. In deze configuratie is de toegang tot het toestel die de toestemmingsvereiste van artikel 5, lid 3, van richtlijn 2002/58/EG doet ontstaan, niet aanwezig, en kan de publieksmeting de vrijstelling van toestemming genieten. Deze vrijstelling veronderstelt dat de volgende voorwaarden vervuld blijven:

de meting dient uitsluitend het statistische doel van de website en is strikt noodzakelijk voor de levering ervan;
de gegevens worden niet gekruist met andere verwerkingen noch aan derden doorgegeven;
er is geen opvolging van de navigatie over verschillende websites of applicaties heen;
de geproduceerde gegevens zijn anoniem of strikt beperkt tot de productie van anonieme statistieken.

Het komt de klant, verwerkingsverantwoordelijke, toe na te gaan of zijn gebruik deze voorwaarden naleeft en, bij een configuratie die daarvan afwijkt, de vereiste toestemming te verzamelen en zijn Bezoekers te informeren (artikelen 13 en 14 AVG).

B.4. Import van de Google Analytics 4-historiek (optie)

Wanneer de klant de import van zijn Google Analytics 4-historiek inschakelt, machtigt hij een adres uit een door de Uitgever beheerde pool om alleen-lezen toegang te krijgen tot zijn eigen GA4-property. De geïmporteerde gegevens komen uit het Google Analytics-account van de klant, waarvoor hij verwerkingsverantwoordelijke blijft. De Uitgever gebruikt ze enkel om de historiek aan de klant weer te geven binnen de Dienst.

B.5. Verwerking conform artikel 28 AVG

Als verwerker stelt de Uitgever de klant een verwerkersovereenkomst (DPA) ter beschikking, conform artikel 28, lid 3, AVG (eveneens op aanvraag beschikbaar via privacy@pulsar.lu). Die overeenkomst voorziet met name in:

de gegevens uitsluitend verwerken op gedocumenteerde instructie van de klant;
de vertrouwelijkheid waarborgen van de tot verwerking gemachtigde personen;
passende beveiligingsmaatregelen treffen (artikel 32);
de inschakeling van subverwerkers omkaderen, met gelijkwaardige verplichtingen;
de klant bijstaan bij verzoeken van betrokkenen, bij inbreuken en bij effectbeoordelingen (artikelen 32 tot 36);
de gegevens na afloop van de dienst wissen of terugbezorgen, naar keuze van de klant;
de nodige informatie ter beschikking stellen en audits mogelijk maken.

De Uitgever houdt het register bij van de categorieën verwerkingsactiviteiten die voor rekening van zijn klanten worden verricht (artikel 30, lid 2, AVG).

B.6. Subverwerkers en hosting

De Publieksgegevens worden gehost en verwerkt in Zwitserland:

Infomaniak Network SA (Zwitserland): hosting van de applicatieserver en van de verzamelserver.

De lijst van subverwerkers wordt in het kader van de DPA meegedeeld en bijgehouden; de klant wordt over elke wijziging geïnformeerd.

B.7. Beveiliging (artikel 32 AVG)

De Uitgever treft passende technische en organisatorische maatregelen: versleuteling tijdens transport (HTTPS) en in rust, scheiding per website, gegevensminimalisatie, inkorting van het IP-adres, niet-blijvende dagelijkse hash, toegangscontrole, logging en debietbeperking van het verzamelpunt.

B.8. Inbreuken in verband met persoonsgegevens (artikelen 33 en 34 AVG)

Bij een inbreuk die de Publieksgegevens treft, stelt de Uitgever, in zijn hoedanigheid van verwerker, de klant onverwijld in kennis, zodat deze zijn verplichtingen tot melding aan de toezichthoudende autoriteit (artikel 33) en tot mededeling aan de betrokkenen (artikel 34) kan nakomen.

B.9. Doorgiften buiten de Europese Unie

Er vindt geen doorgifte van de Publieksgegevens buiten Zwitserland plaats, dat een adequaatheidsbesluit geniet. Bij een punctuele inschakeling van een dienstverlener buiten de EER zonder adequaatheidsbesluit zouden passende waarborgen in de zin van de artikelen 44 tot 49 AVG worden ingesteld.

B.10. Bewaartermijn

De ruwe gegevens van de publieksmeting worden maximaal 25 maanden bewaard en daarna gewist of enkel nog bewaard in de vorm van statistische aggregaten zonder individualiserende gegevens. De geaggregeerde gegevens van de heatmaps (tellers per cel en per pagina) worden maximaal 12 maanden bewaard.

B.11. Rechten van de betrokkenen

Gelet op het ontbreken van een blijvende identificator en van rechtstreeks identificerende gegevens laten de Publieksgegevens in beginsel geen heridentificatie van een persoon toe (artikel 11 AVG). Verzoeken met betrekking tot een bepaalde website moeten worden gericht aan de klant, verwerkingsverantwoordelijke van die website. De Uitgever staat de klant bij in de behandeling van die verzoeken.

Wijziging van dit beleid

Dit beleid kan worden bijgewerkt om rekening te houden met wettelijke, reglementaire of technische ontwikkelingen. De geldende versie is die welke op analytics.pulsar.lu is gepubliceerd. Wezenlijke wijzigingen worden op passende wijze ter kennis van de klanten gebracht.