Dostęp i usunięcie: jak wskazać swoje dane

Jak odwiedzający odnajduje identyfikator, pod którym MousePlayer prowadzi jego dane sesji, i jak złożyć żądanie dostępu lub usunięcia. Część Polityki prywatności.

1. Dlaczego w ogóle potrzebny jest identyfikator

MousePlayer nie wie, kim Państwo są. Nie zbiera imienia, adresu e-mail ani numeru telefonu, a adresy IP przechowuje wyłącznie w postaci skróconej (bez ostatniego oktetu lub bloku). Wizyta odróżniana jest od innych losowo wygenerowanym identyfikatorem, który powstaje w Państwa własnej przeglądarce – i niczym więcej.

Wyjątek leży po stronie operatora strony: może on dołączyć do wizyty własny identyfikator klienta (np. po zalogowaniu się u niego) albo nadać odwiedzającemu nazwę w swoim koncie. Wtedy przechowywana jest także ta informacja i jest ona usuwana razem z resztą.

To działa w obie strony. Dlatego nagrania nie da się po prostu powiązać z Państwa nazwiskiem. I dlatego żądanie dostępu lub usunięcia potrzebuje tego identyfikatora: bez niego nie ma czego szukać. Zgodnie z art. 11 ust. 2 RODO wolno nam to powiedzieć – i mówimy to raczej tutaj, niż mielibyśmy Państwu odpowiedzieć tak dopiero po otrzymaniu pisma.

2. Gdzie znajduje się identyfikator

Identyfikator zapisany jest w Państwa przeglądarce pod kluczem mp_visitor_id i należy do odwiedzonej strony – nie do mouseplayer.com. Przeglądarki oddzielają tę pamięć ściśle według witryn, i właśnie to Państwa chroni: żadna strona nie odczyta pamięci innej.

Dla Państwa oznacza to jedno: identyfikator trzeba odczytać na tamtej stronie. Strona tutaj nie zrobi tego za Państwa.

3. Droga szybka: Twoja strona danych

Prowadzimy stronę, która odpowiada na żądanie bezpośrednio: www.mouseplayer.com/moje-dane. Pokazuje, ile sesji jest zapisanych pod danym identyfikatorem, z jakiego okresu i na jakich witrynach – i pozwala je wszystkie usunąć.

Z powodu opisanego wyżej rozdzielenia strona ta nie może odczytać identyfikatora z witryny, którą odwiedziłeś. Są trzy drogi, by go tam wprowadzić:

  • Przez link operatora. Jeśli odwiedzana witryna linkuje do tej strony ze swojej polityki prywatności, link niesie już Twój identyfikator, a strona otwiera się z Twoimi danymi. To najkrótsza droga i ta, o którą prosimy operatorów – patrz następny punkt.
  • Przez samodzielne wpisanie. Odczytaj identyfikator na tamtej witrynie (poniżej) i wklej go w pole na stronie.
  • Samoczynnie, na samej mouseplayer.com. Jeśli zostałeś nagrany na naszej własnej witrynie, strona znajdzie Twój identyfikator bez Twojego udziału.

Strona celowo nie pokazuje nagrań, tylko liczbę, okres i domeny: identyfikator jest kluczem bez hasła, a kto by go zdobył, mógłby inaczej oglądać Twoje zachowanie. Usunięcie zlecone na tej stronie wykonujemy z reguły w ciągu kilku minut.

Odczyt identyfikatora ręcznie

Otwórz daną witrynę, następnie narzędzia deweloperskie przeglądarki (F12 lub prawy przycisk → Zbadaj), przejdź na kartę Konsola, wklej poniższą linię i naciśnij Enter:

localStorage.getItem('mp_visitor_id')

Odpowiedzią jest albo ciąg znaków – to Twój identyfikator – albo null. null oznacza, że dla tej witryny w tej przeglądarce nic nie jest zapisane, a więc nie ma też żadnych Twoich danych do odnalezienia.

4. Dla operatorów stron: jedna linia, jeden link

Odsyłanie odwiedzających do konsoli deweloperskiej nie jest dla większości ludzi poważną odpowiedzią. Jeśli prowadzisz witrynę z MousePlayerem, skieruj ich wprost do ich własnych danych. MousePlayer.privacyUrl() zwraca pełny adres, z identyfikatorem odwiedzającego już w środku:

<a id="mp-my-data" href="#" hidden>Zobacz i usuń moje dane</a> <script> window.addEventListener('load', function () { var a = document.getElementById('mp-my-data'), u = null; try { u = window.MousePlayer && window.MousePlayer.privacyUrl ? window.MousePlayer.privacyUrl() : null; } catch (e) {} if (u) { a.href = u; a.hidden = false; } }); </script>

Gdy identyfikatora nie ma, funkcja zwraca null – bo nic nie zostało nagrane, na przykład przy odmowie zgody. Link pozostaje wtedy ukryty i tak jest właściwie: wpis prowadzący do pustej strony jest gorszy niż jego brak.

Język idzie za atrybutem lang Twojej strony; można go też podać wprost, jak MousePlayer.privacyUrl('pl'). Jeśli wolisz pokazać samą wartość zamiast linkować, nadal zwraca ją MousePlayer.getVisitorId().

Ten link możesz umieścić tylko Ty. Pamięć przeglądarki jest oddzielona dla każdej witryny, więc z naszej strony nie mamy dostępu do identyfikatorów Twoich odwiedzających – tak ma być, i to samo rozdzielenie sprawia, że ich wizyty u Ciebie pozostają niepowiązywalne z wizytami gdzie indziej. Wobec swoich odwiedzających i tak to Ty jesteś administratorem, a informacja z art. 13 należy do Twojej polityki prywatności. Bez tego linku zostaje im tylko droga ręczna powyżej.

5. Dokąd kierować żądanie

Do operatora odwiedzonej strony, nie do nas. To on decyduje, co jest tam nagrywane, i jest administratorem tych danych; MousePlayer przetwarza je wyłącznie na jego polecenie.

Prosimy podać identyfikator i adres strony. Operator może następnie sam usunąć w swoim koncie MousePlayer pojedyncze sesje lub wszystkie sesje odwiedzającego albo zlecić to nam – wspieramy go bez zbędnej zwłoki.

Jeśli nie mogą Państwo dotrzeć do operatora, prosimy pisać na office@mouseplayer.com i wskazać stronę. Przekażemy żądanie dalej; sami go nie rozstrzygniemy, bo ta decyzja do nas nie należy.

Na nikogo nie musisz czekać, jeśli chodzi o usunięcie: usunięcie zlecone na Twojej stronie danych wykonujemy bez pytania operatora, z reguły w ciągu kilku minut. Cała reszta – pytania o to, co i dlaczego zostało nagrane, albo sprzeciw wobec samego nagrywania – idzie do operatora, bo to jego decyzje.

Jeśli są Państwo klientem MousePlayer, ta strona dotyczy Państwa nie jako odwiedzających, lecz jako posiadaczy konta: dane konta mogą Państwo sami pobrać w ustawieniach konta w sekcji „Eksportuj moje dane” i tam też usunąć konto. Szczegóły zawiera Polityka prywatności.

6. Co usunięcie faktycznie kasuje

Usunięcie według identyfikatora kasuje we wszystkich powiązanych sesjach: nagrane ruchy myszy, kliknięcia i przewijanie; odsłony; zdarzenia własne; kopię kliknięć przechowywaną na potrzeby map cieplnych; trafienia śledzenia elementów; indeks wyszukiwania wyświetlanego tekstu; odpowiedzi tekstowe z ankiet; wywiedzione analizy, przypisania do profili i osie czasu; pomiary szybkości ładowania; wewnętrzne notatki do sesji; ewentualne linki udostępniające; zarchiwizowane pliki nagrań; oraz przydomek odwiedzającego wraz z nazwą nadaną przez operatora. Same rekordy sesji znikają wraz z nimi.

Jedno pozostaje świadomie, i słusznie, żebyście Państwo o tym wiedzieli: zapis, że zapadła decyzja o zgodzie – jej czas, źródło i treść. Identyfikator jest z niego usuwany, więc nie wskazuje już na Państwa. Zachowujemy go, bo musimy móc wykazać, że nagranie opierało się na zgodzie (art. 5 ust. 2 RODO). Nie zawiera danych behawioralnych.

Pozostaje również dzienne podsumowanie mapy cieplnej: jak często klikano w dane miejsce strony, bez powiązania z jakąkolwiek sesją czy odwiedzającym.

Kopie zapasowe to osobna sprawa. Dane usunięte w systemie produkcyjnym pozostają w kopiach do czasu ich zwykłego wygaśnięcia – najpóźniej po 364 dniach. Nie odtwarzamy kopii po to, by ponownie wprowadzić usunięte dane; jeśli musimy odtworzyć kopię, ponownie wykonujemy już zrealizowane żądania usunięcia.

Usunięcie zlecone na stronie danych idzie dokładnie tą drogą. Sama strona niczego nie kasuje; odnotowuje żądanie, a nasz proces w tle wykonuje je tym samym łańcuchem, zwykle w ciągu kilku minut.

7. Granice, bez owijania

  • Wyczyszczona pamięć przeglądarki oznacza utracony identyfikator. Jeśli po wizycie usunęli Państwo dane witryn, identyfikatora nie ma i nie odtworzymy go.
  • Inna przeglądarka lub inne urządzenie to inny identyfikator. Między nimi nie ma powiązania – celowo. Każdy trzeba zgłosić osobno.
  • Adres IP nie jest zamiennikiem. Przechowywany jest wyłącznie w postaci zamaskowanej i nikogo pojedynczo nie wskazuje.

Tam, gdzie identyfikatora nie da się przedstawić, a operator nie przekazał też własnego identyfikatora klienta (punkt 1), nie możemy przypisać Państwu żadnych danych, a zgodnie z art. 11 ust. 2 RODO prawa dostępu i usunięcia nie mogą być na tej podstawie wykonane. To skutek zbierania jak najmniej – nie sposób na uniknięcie żądania.