Etická analytika. Jen tolik dat, kolik je potřeba.
Porozumění chování uživatelů by nemělo jít na úkor soukromí lidí. V MousePlayeru stavíme nástroje pro poznání, ne pro sledování.
Jsme přesvědčeni, že spolehlivá digitální analytika a přísná ochrana dat se navzájem nevylučují. MousePlayer byl od základu navržen s architekturou, v níž má soukromí přednost, abyste získali telemetrii potřebnou ke zlepšení UI/UX s co nejmenším množstvím osobních údajů. Tato data nejsou anonymní – jsou pseudonymní, a níže vám přesně vysvětlíme, co to znamená.
Pseudonymně, ne jménem
Zajímá nás, *jak* se s prvky pracuje, ne *kdo* s nimi pracuje. MousePlayer přiděluje návštěvníkům a relacím náhodné pseudonymní identifikátory, které platí jen na daném webu. Žádné sledování napříč weby, žádný fingerprinting a žádné pokusy vaše návštěvníky identifikovat. Jméno nebo vaše vlastní zákaznické ID návštěvníka existuje jen tehdy, když ho vy jako provozovatel sami odešlete nebo přidělíte. Profily chování a analýzy AI popisují skupiny návštěv nebo jednotlivé pseudonymní návštěvníky v rámci vašeho projektu; nepropojují se s daty jiných projektů ani jiných zákazníků.
Maskování v prohlížeči
Vstupy se maskují přímo u zdroje. Hesla a platební údaje na každé úrovni maskování a text zadaný do polí formulářů ve výchozím nastavení v plném rozsahu se stávají nečitelnými přímo v prohlížeči návštěvníka, ještě než se na naše servery odešlou jakákoli data. Na to, co zobrazuje samotná vaše stránka, se to nevztahuje; k tomu slouží značky popsané níže.
Vaše data, oddělená
Jsme poskytovatel nástroje, ne obchodník s daty. Vaše telemetrická data jsou striktně oddělena ve vašem pracovním prostoru. Data vašich návštěvníků neprodáváme a nepředáváme je pro reklamu, profilování ani marketing třetích stran. MousePlayer opouštějí jen směrem k příjemcům, které si sami nastavíte (integrace a odkazy ke sdílení), ke stranám uvedeným v seznamu dalších zpracovatelů a tam, kde jsme ze zákona povinni je zpřístupnit.
Jak funguje etické měření
1. Ošetření vstupů ve formulářích a stisků kláves
Přehrávání relace má odhalit tření v použitelnosti, ne osobní tajemství. Měřicí skript MousePlayeru na straně klienta používá důslednou logiku ošetření dat. Když uživatel pracuje s běžnými vstupními poli, zaznamenaná data se ve výchozím nastavení okamžitě maskují. Uvidíte, že uživatel do pole psal, a můžete tak posoudit dobu interakce, skutečné znaky jsou ale nahrazeny nečitelnými zástupnými znaky nebo zcela odstraněny. Pole pro hesla a platební údaje zůstávají maskovaná na každé úrovni maskování. Platí dvě omezení a raději je pojmenujeme, než abychom je zamlčeli: dvě slabší úrovně maskování zapínáme jen s naším písemným schválením a maskování nikdy nezasáhne to, co vaše vlastní stránka vypíše do dokumentu. Obojí upravuje DPA.
2. Maskování prvků DOM
U webů, které pracují s vysoce citlivými daty (třeba zdravotnické portály nebo finanční dashboardy), umožňuje MousePlayer vývojářům označit oblasti, které se nikdy nesmějí zaznamenat. Existují dvě značky a každá dělá něco jiného.
Atribut data-mp-mask nebo třída mp-masked na prvku, který obaluje citlivou oblast. Uvnitř této oblasti se každý znak kromě mezer v každém textovém uzlu nahradí hvězdičkou ještě předtím, než snímek stránky opustí prohlížeč, a každá hodnota atributu kromě krátkého technického seznamu povolených se nahradí [FILTERED]. Náhrada probíhá na kopii; stránka, kterou návštěvník vidí, zůstává nedotčená.
Atribut data-mp-ignore nebo třída mp-ignore působí úžeji: potlačí hodnoty polí formulářů. Ze snímku stránky nic neodstraní.
Poznámka: mp-mask — bez předpony data- a bez koncového ed — není značka a nemá žádný účinek. Pokud jste ho použili, nahraďte ho za data-mp-mask.
„Naše filozofie je jednoduchá: co nikdy nesbíráme, nemůže uniknout, být vyzrazeno ani zneužito. Soukromí není funkce, kterou zapnete; je součástí samotných základů naší architektury.“
3. Transparentní geolokace
Z IP adresy návštěvníka při navázání spojení určíme zemi, město a provozovatele sítě. Samotná adresa se ukládá jen ve zkrácené podobě (u IPv4 bez posledního oktetu, u IPv6 bez posledního bloku). Úplná adresa se uchovává jen v paměti po dobu spojení, na několik sekund kvůli rozpoznání záplavy spojení a – pokud je při podezření na útok automaticky zablokována – nejvýše 24 h jako záznam o blokaci v naší mezipaměti.
4. Pomíjivé živé zobrazení
Náš Live Viewer předává souřadnice myši a změny stránky divákovi přes šifrovaná spojení (WSS). Samotné živé zobrazení nevytváří žádnou další kopii; ukládá se jen to, co se tak jako tak ukládá jako záznam relace. Jakmile živé spojení skončí, dočasná vyrovnávací paměť se vymaže.