Etyczna Analityka. Tylko tyle danych, ile trzeba.
Rozumienie zachowań użytkowników nie powinno odbywać się kosztem prywatności człowieka. W MousePlayer budujemy narzędzia do analizy, nie inwigilacji.
Wierzymy, że zaawansowana analityka cyfrowa i ścisła ochrona prywatności nie wykluczają się wzajemnie. Architektura MousePlayer od początku stawia prywatność na pierwszym miejscu, zapewniając telemetrię niezbędną do poprawy UI/UX przy jak najmniejszej ilości danych osobowych. Dane te nie są anonimowe – są pseudonimowe, a poniżej dokładnie wyjaśniamy, co to oznacza.
Pseudonim zamiast nazwiska
Interesuje nas *jak* użytkownicy wchodzą w interakcję z elementami, a nie *kim* są. MousePlayer przypisuje odwiedzającym i sesjom losowe, pseudonimowe identyfikatory; obowiązują one wyłącznie na danej stronie. Nie śledzimy między witrynami, nie używamy odcisków palców przeglądarki (fingerprinting) i nie próbujemy identyfikować Twoich gości. Imię lub własny identyfikator klienta dla odwiedzającego istnieje tylko wtedy, gdy Ty jako operator sam go przekażesz lub nadasz. Profile behawioralne i analizy AI opisują grupy wizyt lub pojedynczych pseudonimowych odwiedzających w obrębie Twojego projektu; nie są łączone z danymi innych projektów ani innych klientów.
Maskowanie w przeglądarce
Wpisy są maskowane u źródła. Hasła i dane płatnicze na każdym poziomie maskowania, a tekst wpisywany w pola formularzy domyślnie w całości, są czynione nieczytelnymi bezpośrednio w przeglądarce odwiedzającego, zanim jakiekolwiek dane zostaną przesłane na nasze serwery. Nie obejmuje to tego, co Twoja strona sama wyświetla; do tego służą oznaczenia opisane niżej.
Twoje dane, Twoje zasady
Jesteśmy dostawcą narzędzi, a nie brokerem danych. Twoje dane telemetryczne są ściśle odizolowane wewnątrz Twojego obszaru roboczego (Workspace). Nie sprzedajemy danych Twoich gości i nie przekazujemy ich stronom trzecim do celów reklamowych, profilowania czy marketingu. Dane opuszczają MousePlayer wyłącznie do odbiorców, których sam skonfigurujesz (integracje i linki udostępniania), do podmiotów wymienionych w liście podmiotów przetwarzających oraz tam, gdzie jesteśmy prawnie zobowiązani do ich wydania.
Mechanika Etycznego Śledzenia
1. Dezynfekcja pól tekstowych i klawiatury
Oglądanie nagrania sesji powinno ujawniać problemy z użytecznością, a nie prywatne sekrety. Skrypt śledzący MousePlayer wykorzystuje rygorystyczną logikę czyszczenia (sanitization). Gdy użytkownik wchodzi w interakcję ze standardowymi polami tekstowymi, rejestrowane dane są domyślnie natychmiast maskowane. Widzisz, że użytkownik pisze, ale same znaki są zastępowane gwiazdkami lub całkowicie usuwane. Pola haseł i danych płatniczych pozostają zamaskowane na każdym poziomie maskowania. Obowiązują dwie granice, które nazywamy wprost: dwa słabsze poziomy włączamy wyłącznie po pisemnej zgodzie, a maskowanie nigdy nie sięga tego, co Twoja strona sama wypisuje do dokumentu. Oba opisuje DPA.
2. Maskowanie elementów DOM
Dla stron przetwarzających bardzo wrażliwe dane (np. portale medyczne lub panele finansowe) programiści mogą oznaczyć obszary, które nigdy nie mają być nagrywane. Oznaczenia są dwa i działają inaczej.
Atrybut data-mp-mask albo klasa mp-masked na elemencie obejmującym wrażliwy obszar. Wewnątrz tego obszaru każdy znak niebędący spacją w każdym węźle tekstowym zostaje zastąpiony gwiazdką, zanim zrzut strony opuści przeglądarkę, a każda wartość atrybutu poza krótką listą techniczną zostaje zastąpiona przez [FILTERED]. Podmiana odbywa się na kopii; strona widziana przez odwiedzającego pozostaje nietknięta.
Atrybut data-mp-ignore albo klasa mp-ignore działa węziej: tłumi wartości pól formularzy. Ze zrzutu strony nie usuwa niczego.
Uwaga: mp-mask — bez przedrostka data- i bez końcówki ed — nie jest oznaczeniem i nie działa. Jeśli było używane, należy zastąpić je przez data-mp-mask.
"Nasza filozofia jest prosta: czego w ogóle nie gromadzimy, tego nie można ujawnić, przejąć ani nadużyć. Prywatność to nie jest funkcja, którą można włączyć lub wyłączyć; to część fundamentu naszej architektury."
3. Transparentna Geolokalizacja
Na podstawie adresu IP odwiedzającego ustalamy przy nawiązaniu połączenia kraj, miasto i operatora sieci. Sam adres przechowujemy wyłącznie w skróconej postaci (w IPv4 bez ostatniego oktetu, w IPv6 bez ostatniego bloku). Pełny adres znajduje się tylko w pamięci operacyjnej podczas połączenia, przez kilka sekund w celu wykrywania zalewu połączeń oraz – jeśli zostanie automatycznie zablokowany z powodu podejrzenia ataku – maksymalnie przez 24 godz. jako wpis blokady w naszej pamięci podręcznej.
4. Ulotny Podgląd na Żywo
Nasz Live Viewer przekazuje oglądającemu współrzędne myszy i zmiany strony przez szyfrowane połączenia (WSS). Sam podgląd na żywo nie tworzy dodatkowej kopii; zapisywane jest tylko to, co i tak jest zapisywane jako nagranie sesji. Po zakończeniu połączenia na żywo tymczasowy bufor w pamięci operacyjnej jest opróżniany.