تحلیل اخلاقی. فقط به‌اندازهٔ نیاز داده.
فهم رفتار کاربر نباید به قیمت حریم خصوصی انسان باشد. در MousePlayer ابزار شناخت می‌سازیم، نه نظارت.
باور داریم تحلیل دیجیتال قوی و حریم خصوصی سخت‌گیرانه با هم ناسازگار نیستند. MousePlayer از ابتدا با معماری دارای اولویت حریم خصوصی ساخته شده تا داده‌سنجی لازم برای بهبود UI/UX را با کمترین دادهٔ شخصی ممکن بگیرید. این داده ناشناس نیست؛ نام مستعار دارد و پایین دقیقاً توضیح می‌دهیم یعنی چه.
با نام مستعار، بدون نام واقعی
برای ما مهم است عناصر *چگونه* استفاده می‌شوند، نه *چه کسی* از آن‌ها استفاده می‌کند. MousePlayer به بازدیدکننده و نشست شناسهٔ تصادفی مستعار می‌دهد که فقط در سایت مربوط معتبر است. ردیابی میان سایت‌ها، اثرانگشت‌برداری یا تلاش برای شناسایی بازدیدکننده نیست. نام یا شناسهٔ مشتری خودتان فقط وقتی وجود دارد که شما به‌عنوان گرداننده آن را بفرستید یا تخصیص دهید. نمایهٔ رفتاری و تحلیل هوش مصنوعی گروهی از بازدیدها یا بازدیدکنندهٔ منفرد مستعار را در پروژه شرح می‌دهد و به دادهٔ پروژه یا مشتری دیگر پیوند ندارد.
پوشاندن در مرورگر
ورودی در مبدأ پوشانده می‌شود. رمز و دادهٔ پرداخت در هر سطح پوشاندن و به‌طور پیش‌فرض تمام متن تایپ‌شده در فیلد فرم، پیش از انتقال داده به سرور ما مستقیماً در مرورگر بازدیدکننده ناخوانا می‌شود. این شامل چیزی که خود صفحه نمایش می‌دهد نیست؛ نشانگرهای پایین برای آن‌اند.
دادهٔ شما، جدا از دیگران
ما ارائه‌دهندهٔ ابزاریم، نه واسطهٔ داده. دادهٔ سنجش شما در فضای کاری‌تان کاملاً جدا نگهداری می‌شود. دادهٔ بازدیدکننده را نمی‌فروشیم و برای تبلیغ، نمایه‌سازی یا بازاریابی شخص ثالث نمی‌دهیم. داده فقط به گیرنده‌ای که خودتان تنظیم کرده‌اید (یکپارچه‌سازی و پیوند اشتراک)، طرف‌های فهرست پردازشگران فرعی و موارد الزام قانونی افشا از MousePlayer خارج می‌شود.
سازوکار ردیابی اخلاقی
1. پاک‌سازی ورودی فرم و کلیدهای فشرده‌شده
تماشای بازپخش باید اصطکاک کاربردپذیری را آشکار کند، نه راز شخصی. اسکریپت ردیابی سمت کاربر MousePlayer منطق سخت‌گیرانهٔ پاک‌سازی دارد. هنگام تعامل با فیلد ورودی استاندارد، دادهٔ ضبط‌شده به‌طور پیش‌فرض فوری پوشانده می‌شود. می‌بینید کاربر در فیلد تایپ کرده و زمان تعامل را می‌سنجید، اما نویسه‌های واقعی با نشانگر ناخوانا جایگزین یا کاملاً حذف می‌شوند. رمز و فیلد پرداخت در همهٔ سطح‌ها پوشانده می‌مانند. دو محدودیت را آشکار نام می‌بریم: دو سطح ضعیف‌تر فقط با تأیید کتبی ما فعال می‌شوند و پوشاندن به چیزی که صفحهٔ خودتان در سند چاپ می‌کند نمی‌رسد. هر دو در این سند آمده‌اند: توافق‌نامهٔ پردازش داده.
2. پوشاندن عنصر DOM
برای سایت دارای دادهٔ بسیار حساس (مانند درگاه پزشکی یا داشبورد مالی)، MousePlayer به توسعه‌دهنده اجازه می‌دهد ناحیه‌ای را علامت بزند که هرگز نباید ضبط شود. دو نشانگر وجود دارد با دو کار متفاوت.
ویژگی data-mp-mask یا کلاس mp-masked، روی عنصر دربرگیرندهٔ ناحیهٔ حساس. درون آن، هر نویسهٔ غیرسفید هر گرهٔ متن پیش از خروج تصویر صفحه از مرورگر با ستاره جایگزین و مقدار هر ویژگی جز فهرست کوتاه فنی مجاز با این مورد جایگزین می‌شود: [FILTERED]. جایگزینی روی نسخهٔ کپی انجام می‌شود؛ صفحهٔ دیده‌شده توسط بازدیدکننده دست‌نخورده می‌ماند.
ویژگی data-mp-ignore یا کلاس mp-ignore، محدودتر است و فقط این بخش را حذف می‌کند: مقدار فیلد فرم؛ چیزی از تصویر صفحه برنمی‌دارد.
نکته: mp-mask — بدون پیشوند data- و بدون پسوند ed — نشانگر نیست و اثری ندارد. اگر از آن استفاده کرده‌اید، با این مورد جایگزین کنید: data-mp-mask.
«فلسفهٔ ما ساده است: چیزی که هرگز جمع نمی‌کنیم نمی‌تواند افشا، نشت یا سوءاستفاده شود. حریم خصوصی گزینه‌ای برای روشن کردن نیست؛ بخشی از پایهٔ معماری ماست.»
3. مکان‌یابی شفاف
هنگام برقراری اتصال از IP بازدیدکننده کشور، شهر و گردانندهٔ شبکه را تعیین می‌کنیم. خود نشانی فقط کوتاه‌شده ذخیره می‌شود (برای IPv4 بدون آخرین اکتت و IPv6 بدون آخرین بلوک). نشانی کامل فقط در حافظه، طی اتصال برای چند ثانیه جهت تشخیص سیل اتصال و در صورت مسدودسازی خودکار به‌دلیل شک به حمله، حداکثر 24 ساعت به‌عنوان ورودی مسدودسازی در کش ما می‌ماند.
4. مشاهدهٔ زندهٔ گذرا
Live Viewer مختصات ماوس و تغییر صفحه را روی اتصال رمزگذاری‌شده (WSS) به بیننده می‌رساند. خود نمای زنده نسخهٔ اضافی نمی‌سازد؛ فقط چیزی ذخیره می‌شود که در هر حال به‌صورت ضبط نشست ذخیره می‌شود. با پایان اتصال زنده، بافر موقت حافظه پاک می‌شود.