Analítica ètica. Tan poques dades com calgui.
Entendre el comportament dels usuaris no hauria de comprometre la privacitat de les persones. A MousePlayer, creem eines per obtenir informació, no per vigilar.
Creiem que una analítica digital sòlida i una protecció estricta de les dades no són incompatibles. MousePlayer s’ha dissenyat des de zero amb una arquitectura que prioritza la privacitat, perquè obtingui la telemetria necessària per millorar la UI/UX amb tan poques dades personals com sigui possible. Aquestes dades no són anònimes: són pseudònimes, i a continuació expliquem exactament què vol dir.
Pseudònims, no noms
Ens interessa *com* s’interactua amb els elements, no *qui* hi interactua. MousePlayer assigna als visitants i a les sessions identificadors aleatoris i pseudònims, vàlids només al lloc web corresponent. No hi ha seguiment entre llocs web, ni empremtes digitals, ni cap intent d’identificar els seus visitants. Un visitant només té un nom o un identificador de client propi si vostè, com a operador, l’envia o l’assigna. Els perfils de comportament i les anàlisis d’IA descriuen grups de visites o visitants pseudònims individuals dins del seu projecte; no es vinculen amb dades d’altres projectes ni d’altres clients.
Emmascarament al navegador
Les entrades s’emmascaren a l’origen. Les contrasenyes i les dades de pagament en tots els nivells d’emmascarament, i per defecte tot el text introduït als camps de formulari, es fan il·legibles directament al navegador del visitant abans de transmetre cap dada als nostres servidors. Això no inclou allò que mostra la pàgina mateixa; per això serveixen els marcadors que expliquem més avall.
Les seves dades, aïllades
Som un proveïdor d’eines, no un intermediari de dades. Les seves dades de telemetria es mantenen estrictament aïllades dins del seu espai de treball. No venem les dades dels seus visitants ni les cedim per a publicitat, elaboració de perfils o màrqueting de tercers. Les dades només surten de MousePlayer cap als destinataris que vostè configura (integracions i enllaços compartits), les parts indicades a la llista de subencarregats del tractament i quan tenim l’obligació legal de revelar-les.
Com funciona el seguiment ètic
1. Sanejament de les entrades de formulari i les pulsacions de tecles
La reproducció d’una sessió hauria de revelar friccions d’usabilitat, no secrets personals. L’script de seguiment de MousePlayer al costat del client aplica una lògica rigorosa de sanejament. Quan un usuari interactua amb camps d’entrada estàndard, les dades gravades s’emmascaren immediatament per defecte. Veurà que l’usuari ha escrit en un camp i podrà avaluar el temps d’interacció, però els caràcters reals se substitueixen per indicadors il·legibles o s’eliminen del tot. Els camps de contrasenya i de pagament es mantenen emmascarats en tots els nivells d’emmascarament. Hi ha dos límits que expliquem sense passar-los per alt: els dos nivells d’emmascarament més febles només s’activen amb la nostra autorització escrita, i l’emmascarament mai no arriba al que la seva pròpia pàgina escriu al document. Tots dos s’exposen al DPA.
2. Emmascarament d’elements del DOM
Per als llocs web que tracten dades molt sensibles (com ara portals mèdics o taulers financers), MousePlayer permet als desenvolupadors marcar les àrees que no s’han de gravar mai. Hi ha dos marcadors, i fan coses diferents.
L’atribut data-mp-mask, o la classe mp-masked, s’aplica a l’element que envolta una àrea sensible. Dins d’aquesta àrea, cada caràcter que no sigui un espai en blanc de cada node de text se substitueix per un asterisc abans que la captura de la pàgina surti del navegador, i cada valor d’atribut, excepte els d’una breu llista tècnica de permesos, se substitueix per [FILTERED]. La substitució es fa en una còpia; la pàgina que veu el visitant no es modifica.
L’atribut data-mp-ignore, o la classe mp-ignore, és més específic: suprimeix els valors dels camps de formulari. No elimina res de la captura de la pàgina.
Nota: mp-mask — sense el prefix data- ni la terminació ed — no és cap marcador i no té cap efecte. Si l’ha utilitzat, substitueixi’l per data-mp-mask.
«La nostra filosofia és senzilla: allò que no recollim mai no es pot exposar, filtrar ni utilitzar indegudament. La privacitat no és una funció que s’activa amb un interruptor; forma part dels fonaments de la nostra arquitectura.»
3. Geolocalització transparent
A partir de l’adreça IP d’un visitant determinem el país, la ciutat i l’operador de xarxa en establir la connexió. L’adreça mateixa només es desa truncada (sense l’últim octet en IPv4 i sense l’últim bloc en IPv6). L’adreça completa només es manté en memòria durant la connexió, uns segons per detectar allaus de connexions i, quan es bloqueja automàticament per sospita d’un atac, fins a 24 hores com a entrada de bloqueig a la memòria cau.
4. Visualització efímera en directe
El nostre Live Viewer transmet al visor les coordenades del ratolí i els canvis de la pàgina mitjançant connexions xifrades (WSS). La vista en directe no crea cap còpia addicional; només es desa el que ja es desa com a gravació de la sessió. Quan acaba la connexió en directe, s’esborra el búfer temporal de la memòria.