Eettistä analytiikkaa. Vain tarvittava määrä tietoa.
Käyttäytymisen ymmärtämisen ei pitäisi heikentää ihmisten yksityisyyttä. MousePlayerissa rakennamme havaintotyökaluja, emme valvontaa.
Uskomme vahvan digitaalisen analytiikan ja tiukan tietosuojan sopivan yhteen. MousePlayer on suunniteltu alusta asti yksityisyyttä painottavalla arkkitehtuurilla, jotta käyttöliittymän ja käyttökokemuksen parantamiseen tarvittava telemetria saadaan mahdollisimman vähillä henkilötiedoilla. Tiedot eivät ole anonyymejä vaan pseudonyymejä; alla kerromme tarkasti, mitä se tarkoittaa.
Pseudonyymi, ei nimetty
Meitä kiinnostaa, *miten* elementtejä käytetään, ei *kuka* niitä käyttää. MousePlayer antaa kävijöille ja istunnoille satunnaiset pseudonyymit tunnisteet, jotka pätevät vain kyseisellä sivustolla. Ei sivustojen välistä seurantaa, sormenjälkitunnistusta tai yrityksiä tunnistaa kävijöitä. Nimi tai oma asiakastunnus on olemassa vain, jos ylläpitäjä itse lähettää tai antaa sen. Käyttäytymisprofiilit ja tekoälyanalyysit kuvaavat käyntiryhmiä tai yksittäisiä pseudonyymejä kävijöitä projektin sisällä; niitä ei yhdistetä muiden projektien tai asiakkaiden tietoihin.
Peittäminen selaimessa
Syöte peitetään lähteessä. Salasanat ja maksutiedot kaikilla tasoilla sekä lomakekenttiin kirjoitettu teksti oletuksena kokonaan muutetaan lukukelvottomiksi suoraan kävijän selaimessa ennen tietojen siirtoa palvelimillemme. Sivun itsensä näyttämä sisältö ei kuulu tähän; sitä varten ovat alla olevat merkinnät.
Omat tiedot erillään
Olemme työkaluntarjoaja, emme tiedonvälittäjä. Telemetriatiedot pidetään tiukasti erillään työtilassa. Emme myy kävijätietoja tai luovuta niitä ulkopuolisten mainontaan, profilointiin tai markkinointiin. Tietoja lähtee MousePlayerista vain itse määritetyille vastaanottajille (integraatiot ja jakolinkit), alikäsittelijäluettelon osapuolille sekä lain vaatiessa luovutusta.
Eettisen seurannan toiminta
1. Lomakesyötteiden ja näppäinpainallusten puhdistus
Istuntotoiston tulee paljastaa käytettävyyden kitka, ei henkilökohtaisia salaisuuksia. MousePlayerin asiakaspuolen seurantaskripti käyttää tarkkaa puhdistuslogiikkaa. Tavallisten syötekenttien tallennetut tiedot peitetään oletuksena heti. Näkyy, että käyttäjä kirjoitti kenttään, ja vuorovaikutusaikaa voi arvioida, mutta merkit korvataan lukukelvottomilla merkinnöillä tai poistetaan kokonaan. Salasana- ja maksukentät pysyvät peitettyinä kaikilla tasoilla. Kaksi rajoitusta kerrotaan avoimesti: kaksi heikompaa tasoa otetaan käyttöön vain kirjallisella hyväksynnällämme, eikä peittäminen kata sivun itse dokumenttiin tulostamaa sisältöä. Molemmat kuvataan asiakirjassa Henkilötietojen käsittelysopimus.
2. DOM-elementtien peittäminen
Hyvin arkaluonteisia tietoja käsittelevillä sivustoilla (kuten terveysportaalit tai talouden koontinäytöt) kehittäjät voivat merkitä MousePlayerilla alueet, joita ei koskaan saa tallentaa. Kaksi merkintää tekee eri asiat.
Attribuutti data-mp-mask, tai luokka mp-masked, asetetaan arkaluonteisen alueen ympäröivään elementtiin. Alueen jokaisen tekstisolmun jokainen muu kuin tyhjemerkki korvataan tähdellä ennen tilannekuvan poistumista selaimesta, ja kaikki attribuuttiarvot lyhyttä teknistä sallittujen luetteloa lukuun ottamatta korvataan arvolla [FILTERED]. Korvaus tehdään kopioon; kävijän näkemä sivu säilyy ennallaan.
Attribuutti data-mp-ignore, tai luokka mp-ignore, on rajatumpi: se piilottaa lomakekenttien arvot. Se ei poista mitään sivun tilannekuvasta.
Huomio: mp-mask — josta puuttuvat etuliite data- ja pääte ed — ei ole merkintä eikä vaikuta mihinkään. Jos sitä on käytetty, korvaa se merkinnällä data-mp-mask.
”Ajatuksemme on yksinkertainen: tietoa, jota emme koskaan kerää, ei voi paljastaa, vuotaa tai käyttää väärin. Yksityisyys ei ole päälle kytkettävä ominaisuus vaan osa arkkitehtuurimme perustaa.”
3. Avoin paikannus
Määritämme kävijän IP-osoitteesta maan, kaupungin ja verkko-operaattorin yhteyden muodostuessa. Osoite säilytetään vain katkaistuna (IPv4 ilman viimeistä oktettia, IPv6 ilman viimeistä lohkoa). Koko osoite on vain muistissa yhteyden aikana, muutaman sekunnin yhteystulvan tunnistamiseen ja automaattisen hyökkäysepäilyeston yhteydessä enintään 24 tuntia estomerkintänä välimuistissa.
4. Tilapäinen reaaliaikainen katselu
Live Viewer välittää hiirikoordinaatit ja sivumuutokset katsojalle salatuilla yhteyksillä (WSS). Reaaliaikainen näkymä ei luo lisäkopiota; vain muutenkin istuntotallenteeseen tallennettava säilyy. Reaaliaikayhteyden päättyessä väliaikainen muistipuskuri tyhjennetään.