Analisi etica. Solo i dati strettamente necessari.
Capire il comportamento degli utenti non dovrebbe costare la loro privacy. In MousePlayer costruiamo strumenti per comprendere, non per sorvegliare.
Crediamo che un’analisi digitale solida e una rigorosa protezione dei dati non si escludano a vicenda. MousePlayer è stato progettato fin dalle fondamenta con un’architettura orientata alla privacy, così da fornirle la telemetria necessaria per migliorare la sua UI/UX con il minor numero possibile di dati personali. Questi dati non sono anonimi - sono pseudonimi, e qui sotto le spieghiamo esattamente che cosa significa.
Pseudonimi, non nominativi
Ci interessa *come* si interagisce con gli elementi, non *chi* interagisce. MousePlayer assegna a visitatori e sessioni identificativi casuali e pseudonimi, validi solo sul sito web interessato. Non c’è tracciamento tra siti, nessun fingerprinting e nessun tentativo di identificare i suoi visitatori. Un nome o un suo ID cliente per un visitatore esiste solo se è lei, in quanto gestore, a inviarlo o assegnarlo. I profili comportamentali e le analisi IA descrivono gruppi di visite o singoli visitatori pseudonimi all’interno del suo progetto; non vengono collegati a dati di altri progetti o di altri clienti.
Mascheramento nel browser
Gli inserimenti vengono mascherati alla fonte. Password e dati di pagamento a ogni livello di mascheramento, e per impostazione predefinita tutto il testo digitato nei campi dei moduli, vengono resi illeggibili direttamente nel browser del visitatore, prima che qualsiasi dato venga trasmesso ai nostri server. Ciò che la sua pagina stessa mostra non rientra in questo meccanismo; per questo esistono i contrassegni descritti più avanti.
I suoi dati, isolati
Siamo un fornitore di strumenti, non un data broker. I suoi dati di telemetria restano rigorosamente isolati nella sua area di lavoro. Non vendiamo i dati dei suoi visitatori e non li cediamo a terzi per pubblicità, profilazione o marketing. I dati lasciano MousePlayer solo verso destinatari che configura lei stesso (integrazioni e link di condivisione), verso i soggetti indicati nell’elenco dei sub-responsabili e nei casi in cui siamo obbligati per legge a comunicarli.
I meccanismi di un tracciamento etico
1. Sanificazione degli inserimenti nei moduli & delle digitazioni
Guardare una session replay dovrebbe rivelare l’attrito nell’usabilità, non segreti personali. Lo script di tracciamento lato client di MousePlayer applica una logica di sanificazione rigorosa. Quando un utente interagisce con i normali campi di inserimento, per impostazione predefinita i dati registrati vengono mascherati all’istante. Vedrà che un utente ha digitato in un campo, il che le permette di valutare il tempo di interazione, ma i caratteri effettivi vengono sostituiti da indicatori illeggibili o rimossi del tutto. I campi password e di pagamento restano mascherati a ogni livello di mascheramento. Valgono due limiti, e li dichiariamo invece di sorvolarci: i due livelli di mascheramento più deboli vengono abilitati solo previa nostra approvazione scritta, e il mascheramento non raggiunge mai ciò che la sua pagina stessa scrive nel documento. Entrambi sono descritti nell’accordo sul trattamento dei dati (DPA).
2. Mascheramento degli elementi del DOM
Per i siti web che trattano dati molto sensibili (come portali medici o dashboard finanziarie), MousePlayer permette agli sviluppatori di contrassegnare le aree che non devono mai essere registrate. Esistono due contrassegni, e hanno effetti diversi.
L’attributo data-mp-mask, o la classe mp-masked, sull’elemento che racchiude un’area sensibile. All’interno di quell’area ogni carattere diverso da uno spazio di ogni nodo di testo viene sostituito con un asterisco prima che l’istantanea della pagina lasci il browser, e ogni valore di attributo, a parte un breve elenco tecnico di eccezioni consentite, viene sostituito con [FILTERED]. La sostituzione avviene su una copia; la pagina vista dal visitatore resta intatta.
L’attributo data-mp-ignore, o la classe mp-ignore, ha un effetto più limitato: sopprime i valori dei campi dei moduli. Non rimuove nulla dall’istantanea della pagina.
Nota: mp-mask — senza il prefisso data- e senza il finale ed — non è un contrassegno e non ha alcun effetto. Se l’ha usato, lo sostituisca con data-mp-mask.
«La nostra filosofia è semplice: ciò che non raccogliamo mai non può essere esposto, trafugato o usato in modo improprio. La privacy non è una funzione da attivare o disattivare; fa parte delle fondamenta della nostra architettura.»
3. Geolocalizzazione trasparente
Quando viene stabilita la connessione, dall’indirizzo IP del visitatore determiniamo paese, città e operatore di rete. L’indirizzo stesso viene conservato solo in forma troncata (per IPv4 senza l’ultimo ottetto, per IPv6 senza l’ultimo blocco). L’indirizzo completo viene tenuto solo in memoria durante la connessione, per pochi secondi per rilevare ondate di connessioni e - se viene bloccato automaticamente per sospetto attacco - per un massimo di 24 ore come voce di blocco nella nostra cache.
4. Visione dal vivo effimera
Il nostro Live Viewer trasmette a chi osserva le coordinate del mouse e le modifiche della pagina tramite connessioni cifrate (WSS). La vista dal vivo in sé non crea alcuna copia aggiuntiva; viene salvato solo ciò che viene comunque salvato come registrazione della sessione. Al termine della connessione dal vivo, il buffer temporaneo in memoria viene svuotato.