Beveiliging en privacy

Wie wat mag, wat er wordt bewaard, en hoe lang.

Bijgewerkt 25 okt 2026·Leestijd 11 minbeginnerbeheer

Deze pagina gaat over wie bij je project kan, wat Nexym bewaart en hoe je gegevens van een klant verwijdert. Nieuw met deze onderwerpen? Kijk ook bij Begrippen.

Toegang

Rollen bepalen wat iemand mag: Admin, Customer, Viewer en Module user. Een Module user ziet alleen de modules die je kiest; typt hij een ander adres in, dan krijgt hij een 404. Verbergen alleen is geen beveiliging. Zie Gebruikers en rollen.

Inloggen

Twee-staps-verificatie is verplicht voor Admins en Customers. Je koppelt bij je eerste login een app voor inlogcodes (zoals Google Authenticator of 1Password). Tot dat gebeurd is, kom je alleen op Mijn profiel. Je krijgt er acht herstelcodes bij, voor als je je telefoon kwijt bent. Bewaar ze op een veilige plek.
Een browser die je vertrouwt, hoeft 30 dagen geen code te vragen.
Na tien mislukte pogingen binnen een minuut wordt inloggen vanaf dat adres even afgeremd.
Je wachtwoord moet elke zes maanden vernieuwd worden. Nexym vraagt het vanzelf.
Inloggen, de code, wachtwoord vergeten en een account aanmaken zijn er in het Nederlands en het Engels. Met de knop NL / EN rechtsboven wissel je; die keuze blijft staan tot je inlogt.
Op Mijn profiel kun je een eigen foto zetten: PNG of JPG, maximaal 500 × 500 px en 500 KB. Zonder foto zie je je initialen.

Vanaf waar het dashboard open mag: Dashboard-toegang (IP)

Onder Beheer → Toegang & account → Gebruikers & rollen staat, onder de lijst met gebruikers, Dashboard-toegang (IP). Vul één IP-adres of reeks per regel in (bijvoorbeeld 203.0.113.7 of 198.51.100.0/24). Staat er een lijst, dan kan niemand het dashboard van dit project openen vanaf een ander adres, ook niet met het juiste wachtwoord. Een gestolen wachtwoord is dan op zichzelf niet genoeg.

Standaard is de lijst leeg: dan mag het overal vandaan.
Alleen Admins kunnen de lijst wijzigen.
Een lijst zonder je eigen adres wordt geweigerd, zodat je jezelf niet buitensluit. Het scherm toont bij Je komt binnen vanaf welk adres dat is.

Wat er wordt bewaard

Hoe lang Nexym iets bewaart, is één termijn per soort data, gelijk voor elk project. Nexym beheert die centraal; per project zie je ze op het scherm Data & bewaren (zoek het op in de zoekbalk). Alle soorten en termijnen staan op Data & bewaren. De belangrijkste:

Soort	Waar	Hoe lang (standaard)
Je bedrijfsdata (producten, orders, klanten)	De hub	Zolang het project loopt
Browser-events (weergaven, klikken, zoekacties)	Tracker op je site	90 dagen
Dagtotalen uit je GA4-historie (van vóór Nexym, geen bezoekers)	GA4-historie, met de hand opgehaald	400 dagen
Bezoeken uit je GA4-historie via BigQuery (alleen bij bestellingen van vóór Nexym)	GA4-historie, met de hand opgehaald	Dezelfde termijnen als Nexym’s eigen bezoeken en events
Anonieme bezoekersprofielen	Bezoeken en dagtellingen, zonder naam of e-mail	180 dagen
Gehashte e-mail · niet gekoppeld	Klant herkennen	90 dagen na de laatste keer gezien
Gehashte e-mail · gekoppeld	Koppeling bezoeker ↔ klant	Zolang de klant bestaat
Geïdentificeerde bezoekers	Login of geverifieerde chat	365 dagen
Chatgesprekken	Website chat	90 dagen; contactgegevens in berichten na 30 dagen gemaskeerd
Sync-runs en logs	Operaties	30 dagen; fouten 180 dagen
API-verkeer	Operaties	14 dagen
E-mail verzendlog	E-mail	180 dagen
Wijzigingen door beheerders	Audit log	365 dagen

Niets blijft langer dan het maximum van de hub (standaard 1095 dagen). Wat over zijn termijn is, wordt elke nacht verwijderd en is daarna niet terug te halen.

Wat er niet wordt bewaard

Inloggegevens van je systemen staan versleuteld bij de koppeling en komen nooit in een logregel of in een e-mail. In signalen worden e-mailadressen vervangen voordat ze worden opgeslagen, en lange cijferreeksen (zoals telefoonnummers) in vrije tekst. Het bezoekers-ID op het Live-scherm is een dagelijks wisselende afdruk, geen herkenbaar kenmerk.

Wat de AI te zien krijgt

Voordat Nexym iets naar een AI-model stuurt (de website-chat, de Agent en Ask AI, AI-verrijking, de keuzehulp, reviews), worden namen vervangen door plaatshouders. Het model leest bijvoorbeeld [SHOP] verstuurt vanaf [DOMEIN_1]/verzending; in het antwoord dat jij en je klanten zien, staan weer de echte namen. Versleutelen kan niet — een model moet de tekst kunnen lezen — dus dit is het alternatief: het model werkt zonder te weten voor wie.

Altijd vervangen:

de naam van je project, je bedrijfsnaam, de namen van je websites en winkels;
je domeinen (het pad van een link blijft, zodat het model een productpagina van de winkelwagen kan onderscheiden);
de namen van je koppelingen en van je leveranciers (behalve als die ook een merk in je catalogus zijn);
e-mailadressen, telefoonnummers, IBAN’s en postcodes;
order-, factuur-, retour-, zending- en trackingnummers die in je project bestaan, en de naam, het adres en de contactgegevens van de klant op die order. Een klant die in de chat zijn ordernummer en e-mail typt om zich te verifiëren, wordt nog steeds gewoon gecontroleerd — alleen het model ziet de echte waarden niet.

Productnamen, merken, categorieën en prijzen blijven leesbaar: die zijn openbaar en het model heeft ze nodig om te helpen.

Je ziet dit onder Instellingen → AI, op de kaart Privacy. Daar vul je ook Extra termen om te verbergen in: één per regel, bijvoorbeeld een handelsnaam of de naam van een partner. Die worden op dezelfde manier vervangen (alleen hele woorden, hoofdletters maakt niet uit).

Huisstijl & nooit zeggen

Onder Instellingen → AI staat ook de kaart Huisstijl & nooit zeggen: je merkstem (toon, aanspreekvorm, woorden die je wel of niet gebruikt) en wat nooit gezegd of voorgesteld mag worden. Eén tekst voor alles wat AI voor je schrijft — de chat, de agent en AI-verrijking zetten hem elk in hun prompt. Vroeger had de chat Huisregels en de agent Merkregels en Nooit doen; die zijn in oktober 2026 samengevoegd tot deze ene tekst, zonder iets weg te laten. Per module kun je onder Extra per module iets toevoegen dat alleen die module krijgt, en kies je bovenin een store, dan stel je in wat daar anders is. Alleen een Admin kan dit wijzigen.

Als de AI-leverancier niet beschikbaar is

Is het AI-tegoed op, wordt de sleutel geweigerd of is het quotum bereikt, dan laat Nexym die leverancier een kwartier met rust: de AI-functies vragen het niet bij elke vraag opnieuw, en in de foutenlijst staat één melding (AI-tegoed op bij Anthropic — AI-functies staan stil) in plaats van een fout per vraag. De Agent start in dat kwartier geen nieuw onderzoek.

Werk je met de AI van Nexym, dan kies je onder Instellingen → AI bij Als de AI-leverancier van Nexym niet beschikbaar is naar welke andere leveranciers Nexym in die tijd mag uitwijken. Dat staat standaard uit: alleen een leverancier die je aanvinkt krijgt ooit gegevens van je project, en dat is ook wat de AI-bijlage en de lijst met sub-verwerkers beloven. Een functie die op internet zoekt, wijkt alleen uit naar een leverancier die dat kan. Werk je met je eigen AI-account, dan wijkt Nexym nooit uit — ook niet naar de AI van Nexym.

Op je eigen website

De publieke onderdelen (chat, zoeken, popups, reviews) werken alleen op de domeinen die je onder Beheer → Setup opgeeft. Daarnaast gelden je eigen regels voor bots, landen en user agents, één keer ingesteld voor alle modules.

Persoonsgegevens verwijderen

Vraagt een klant om verwijdering (het recht op vergetelheid), dan doe je dat zelf met Klant verwijderen. Je hebt daarvoor een rol nodig die mag wijzigen (Admin of Customer); een Viewer ziet de knop niet. Verwijderen kan alleen in het dashboard, niet via de API. Wil iemand eerst weten wat er over hem of haar bewaard is, gebruik dan Gegevens exporteren.

Open de klant onder Klanten en scrol in de lade naar Klant verwijderen.
Klik op Klant verwijderen. Het venster zegt wat er verdwijnt en wat er blijft.
Typ VERWIJDER en klik op Klant verwijderen. Pas dan wordt de knop actief.

Het verwijderen loopt op de achtergrond, in kleine stappen. Je komt terug op de klantenlijst, waar bovenaan een ontvangstbewijs verschijnt zodra het klaar is, bijvoorbeeld Verwijderd: 1 klant, 3 bezoekerskoppelingen, 2 chats · Geanonimiseerd: 4 orders.

Wat er verdwijnt: de klant zelf, alle koppelingen van bezoekers aan de klant en de gehashte e-mail (ook een hash of bewaard adres dat nog niet gekoppeld was), winkelwagens, de nieuwsbriefinschrijving, regels in het e-maillog aan dit adres, de A/B-testgroep van het klantaccount, ontvangen webhooks waarin het adres staat, eerdere exports van zijn of haar gegevens, en in de modules: chatgesprekken die de klant verifieerde of waarin het adres staat, popup-aanmeldingen en rad-draaiingen, keuzehulpsessies met dit adres, segmentlidmaatschappen, reviewfoto’s en reviewuitnodigingen.

En alles van de browsers van de klant. Elke browser die aan de klant gekoppeld is (via Klant herkennen) verliest ook zijn spoor: het profiel en de Journey, bezoeken en browserevents, zoekopdrachten, chatgesprekken, keuzehulpsessies en segmentmatches die in die browser zijn gedaan. Orders die aan een bezoek gekoppeld waren blijven, zonder het bezoek.

Wat blijft, zonder de persoon:

Orders, facturen, offertes, retouren en zendingen blijven staan voor je boekhouding en je cijfers. Naam, adres, e-mail, telefoon en notities worden eruit verwijderd; de klantverwijzing wordt een willekeurige code, zodat de orders nog als één (anonieme) koper tellen. Wat al naar een gekoppeld systeem is gestuurd, wordt daardoor niet opnieuw verstuurd. Ook de wijzigingsgeschiedenis van de sync en open conflicten over deze klant en zijn documenten worden gewist.
Reviews blijven met sterren en tekst, maar zonder naam, e-mail en klantkoppeling; ze tonen als anoniem. Reviewuitnodigingen verdwijnen: die aan het adres van de klant en die over een order van de klant.
Een afmelding voor reviewverzoeken blijft bewaard als hash, zodat er geen mails meer komen. Het is alleen een hash van het e-mailadres, zonder naam of order; het ontvangstbewijs noemt hem onder Geanonimiseerd.
Retouraanvragen blijven (artikelen, bedragen, redenen, creditnota’s) zonder e-mail, namen, notities, verzendlabel en foto’s.
Verstuurde offertes houden vast dát en wanneer ze zijn verstuurd en goedgekeurd, zonder het adres, de naam van de ondertekenaar, IP-adressen en de pdf.
In het audit log blijft staan wie de klant heeft ingezien en wanneer, zonder de klantverwijzing.

Het audit log legt de verwijdering vast als klant-ID met alleen de aantallen — niet wie het was. Toestemmingsbewijzen uit de cookiebanner zijn niet aan een klant gekoppeld en blijven staan tot hun bewaartermijn.

Gegevens van een anonieme bezoeker verwijderen

Onder Klanten → Anonieme bezoekers heeft elke bezoeker de knop Bezoekersdata verwijderen. Die verwijdert hetzelfde als hierboven onder En alles van de browsers, maar dan voor die ene browser. Hoort de browser bij een klant, dan weigert Nexym dat en verwijst je naar Klant verwijderen bij die klant: anders blijft de persoon half bewaard.

Inzage in persoonsgegevens

Vraagt iemand welke gegevens je over hem of haar hebt (het recht op inzage), dan gebruik je Gegevens exporteren in de lade van de klant, of van de anonieme bezoeker. Je hebt daarvoor een rol nodig die mag wijzigen (Admin of Customer).

Open de klant (of de bezoeker) en klik op Gegevens exporteren.
Nexym verzamelt op de achtergrond alles wat het platform en elke module over deze persoon bewaren — ook de gegevens van de browsers die aan de klant gekoppeld zijn. Bovenaan de klantenlijst verschijnt Export klaar zodra het bestand er is.
Klik op ZIP downloaden en geef het bestand zelf aan de persoon.

De ZIP bevat een leesbare pagina (index.html), dezelfde gegevens als data.json (machineleesbaar) en één CSV-bestand per onderdeel. Nexym verstuurt niets: er gaat geen mail naar de klant en het bestand verlaat Nexym alleen via jouw download.

De downloadlink werkt 24 uur en alleen voor een beheerder van dit project.
Het bestand wordt na 7 dagen verwijderd (Data & bewaren, Exports van persoonsgegevens), en meteen als je de klant verwijdert.
Het audit log legt vast wie een export aanvroeg en downloadde, met alleen aantallen.