Ethische analytics. Zo weinig gegevens als nodig.

Inzicht in gebruikersgedrag mag niet ten koste gaan van de privacy van mensen. Bij MousePlayer bouwen we tools voor inzichten, niet voor surveillance.

Wij geloven dat degelijke digitale analytics en strikte gegevensbescherming elkaar niet uitsluiten. MousePlayer is vanaf de basis ontworpen met een architectuur waarin privacy voorop staat, zodat u de telemetrie krijgt die u nodig hebt om uw UI/UX te verbeteren, met zo weinig persoonsgegevens als mogelijk. Die gegevens zijn niet anoniem - ze zijn gepseudonimiseerd, en hieronder leggen we precies uit wat dat betekent.

Gepseudonimiseerd, niet bij naam

Het gaat ons om *hoe* er met elementen wordt omgegaan, niet om *wie* dat doet. MousePlayer kent bezoekers en sessies willekeurige, gepseudonimiseerde ID’s toe; die gelden alleen op de betreffende website. Er is geen cross-site tracking, geen fingerprinting en geen poging om uw bezoekers te identificeren. Een naam of uw eigen klant-ID voor een bezoeker bestaat alleen als u die als beheerder zelf meestuurt of toekent. Gedragsprofielen en AI-analyses beschrijven groepen bezoeken of afzonderlijke gepseudonimiseerde bezoekers binnen uw project; ze worden niet gekoppeld aan gegevens van andere projecten of andere klanten.

Maskering in de browser

Invoer wordt aan de bron gemaskeerd. Wachtwoorden en betaalgegevens op elk maskeringsniveau, en tekst die in formuliervelden wordt getypt standaard volledig, worden direct in de browser van de bezoeker onleesbaar gemaakt voordat er gegevens naar onze servers worden verzonden. Wat uw pagina zelf weergeeft, valt hier niet onder; daarvoor dienen de markeringen verderop.

Uw gegevens, strikt gescheiden

Wij zijn een leverancier van tools, geen databroker. Uw telemetriegegevens blijven strikt binnen uw werkruimte gescheiden. Wij verkopen de gegevens van uw bezoekers niet en geven ze niet door voor reclame, profilering of marketing door derden. Gegevens verlaten MousePlayer alleen naar ontvangers die u zelf instelt (integraties en deellinks), naar de partijen die in de lijst van subverwerkers worden genoemd en waar wij wettelijk verplicht zijn ze te verstrekken.

Hoe ethische tracking werkt

1. Opschonen van formulierinvoer & toetsaanslagen
Het bekijken van een sessie-opname moet frictie in de bruikbaarheid onthullen, geen persoonlijke geheimen. Het trackingscript van MousePlayer aan de clientkant past strenge opschoningslogica toe. Wanneer een gebruiker met gewone invoervelden werkt, worden de vastgelegde gegevens standaard direct gemaskeerd. U ziet dat een gebruiker in een veld typte, zodat u de interactietijd kunt inschatten, maar de eigenlijke tekens worden vervangen door onleesbare markeringen of helemaal verwijderd. Wachtwoord- en betaalvelden blijven op elk maskeringsniveau gemaskeerd. Er gelden twee grenzen, en die benoemen we in plaats van ze te verdoezelen: de twee zwakkere maskeringsniveaus worden alleen na onze schriftelijke goedkeuring ingeschakeld, en de maskering reikt nooit tot wat uw eigen pagina in het document weergeeft. Beide zijn vastgelegd in de verwerkersovereenkomst.

2. Maskering van DOM-elementen
Voor websites die zeer gevoelige gegevens verwerken (zoals medische portalen of financiële dashboards), kunnen ontwikkelaars in MousePlayer de gebieden markeren die nooit mogen worden opgenomen. Er zijn twee markeringen, en ze doen verschillende dingen.

Het attribuut data-mp-mask, of de klasse mp-masked, op het element dat een gevoelig gebied omsluit. Binnen dat gebied wordt elk teken van elke tekstnode dat geen witruimte is, vervangen door een sterretje voordat de momentopname van de pagina de browser verlaat, en wordt elke attribuutwaarde, op een korte technische toegestane lijst na, vervangen door [FILTERED]. De vervanging gebeurt op een kopie; de pagina die de bezoeker ziet, blijft onaangeroerd.

Het attribuut data-mp-ignore, of de klasse mp-ignore, werkt beperkter: het onderdrukt de waarden van formuliervelden. Het verwijdert niets uit de momentopname van de pagina.

Let op: mp-mask — zonder het voorvoegsel data- en zonder de uitgang ed — is geen markering en heeft geen effect. Hebt u het gebruikt, vervang het dan door data-mp-mask.

“Onze filosofie is eenvoudig: wat we nooit verzamelen, kan niet worden blootgesteld, uitlekken of misbruikt. Privacy is geen functie die u in- of uitschakelt; het is een deel van het fundament van onze architectuur.”

3. Transparante geolocatie
Uit het IP-adres van een bezoeker bepalen we bij het opzetten van de verbinding land, stad en netwerkaanbieder. Het adres zelf wordt alleen ingekort opgeslagen (bij IPv4 zonder het laatste octet, bij IPv6 zonder het laatste blok). Het volledige adres wordt alleen in het geheugen bewaard tijdens de verbinding, een paar seconden om verbindingsstromen te herkennen en - waar het bij een vermoeden van een aanval automatisch wordt geblokkeerd - tot 24 uur als blokkeringsvermelding in onze cache.

4. Vluchtige liveweergave
Onze Live Viewer stuurt muiscoördinaten en paginawijzigingen via versleutelde verbindingen (WSS) door naar de kijker. De liveweergave zelf maakt geen extra kopie; alleen wat toch al als sessie-opname wordt opgeslagen, wordt opgeslagen. Zodra de liveverbinding eindigt, wordt de tijdelijke buffer in het geheugen gewist.