Acesso e eliminação: como identificar seus dados
Como um visitante encontra o identificador sob o qual o MousePlayer mantém seus dados de sessão e como fazer uma solicitação de acesso ou eliminação. Parte da Política de Privacidade.
1. Por que um identificador é necessário
O MousePlayer não sabe quem você é. Não coleta nome, endereço de e-mail nem número de telefone e armazena endereços IP apenas de forma truncada (sem o último octeto ou bloco). Uma visita se distingue das outras por um identificador gerado aleatoriamente no seu próprio navegador – nada mais.
Existe uma exceção, e ela depende do responsável pelo site: ele pode associar seu próprio ID de cliente a uma visita (por exemplo, depois de você fazer login no site) ou atribuir um nome a um visitante em sua conta. Essa informação também é armazenada e eliminada junto com o restante.
A consequência funciona nos dois sentidos. É por isso que uma gravação não pode simplesmente ser vinculada a você pelo nome. E é por isso que uma solicitação de acesso ou eliminação precisa desse identificador: sem ele, não há o que procurar. O art. 11(2) do GDPR permite que informemos isso – e preferimos dizê-lo claramente aqui a deixar que você descubra depois de nos escrever.
2. Onde fica o identificador
O identificador é armazenado no seu navegador, sob a chave mp_visitor_id, e pertence ao site que você visitou – não a mouseplayer.com. Os navegadores mantêm esse armazenamento estritamente separado por site, e é exatamente isso que protege você: nenhum site pode ler o armazenamento de outro.
Para você, isso significa uma coisa: é preciso ler o identificador enquanto estiver naquele site. Uma página aqui não pode fazer isso por você.
3. O caminho rápido: sua página de dados
Mantemos uma página que atende à solicitação diretamente: www.mouseplayer.com/my-data. Ela mostra quantas sessões estão armazenadas sob um identificador, de qual período e em quais sites – e pode solicitar a eliminação de todas.
Devido à separação descrita acima, essa página não pode ler o identificador no site que você visitou. Há três formas de levá-lo até ela:
- Pelo link do responsável pelo site. Se o site que você visitou incluir um link para a página em sua política de privacidade, esse link já contém seu identificador e a página abre com seus dados. Esse é o caminho mais curto e o que pedimos aos responsáveis por sites que forneçam – veja a próxima seção.
- Inserindo por conta própria. Leia o identificador naquele site (abaixo) e depois cole-o no campo da página.
- Automaticamente, no próprio mouseplayer.com. Se você foi gravado em nosso próprio site, a página encontra seu identificador sem nenhuma ação sua.
A página deliberadamente não mostra gravações, apenas contagens, datas e domínios: o identificador é uma chave sem senha, e qualquer pessoa que o obtivesse poderia, caso contrário, assistir ao seu comportamento. Uma eliminação solicitada ali é executada, em regra, em minutos.
Leitura manual do identificador
Abra o site em questão e depois as ferramentas de desenvolvedor do navegador (F12, ou clique com o botão direito → Inspecionar), vá para a aba Console, cole a linha a seguir e pressione Enter:
localStorage.getItem('mp_visitor_id')
A resposta é uma sequência de caracteres – seu identificador – ou null. null significa que não há nada armazenado para esse site nesse navegador e, portanto, nenhum dado seu a encontrar.
4. Para responsáveis por sites: uma linha, um link
Pedir aos visitantes que usem um console de desenvolvedor não é uma resposta séria para a maioria das pessoas. Se você opera um site com MousePlayer, leve-os por um link diretamente aos próprios dados. MousePlayer.privacyUrl() retorna o endereço completo, já com o identificador do visitante:
<a id="mp-my-data" href="#" hidden>See and delete my data</a> <script> window.addEventListener('load', function () { var a = document.getElementById('mp-my-data'), u = null; try { u = window.MousePlayer && window.MousePlayer.privacyUrl ? window.MousePlayer.privacyUrl() : null; } catch (e) {} if (u) { a.href = u; a.hidden = false; } }); </script>
Retorna null quando não existe identificador – porque nada foi gravado, por exemplo quando o consentimento foi recusado. O link então permanece oculto, o que é correto: uma entrada que leva a uma página vazia é pior que nenhuma.
O idioma segue o atributo lang da sua página; passe um explicitamente se preferir, como em MousePlayer.privacyUrl('de'). Se preferir mostrar o valor bruto em vez de criar um link para ele, MousePlayer.getVisitorId() continua a retorná-lo.
Cabe a você colocar esse link, e somente você pode fazê-lo. O armazenamento do navegador é separado por site, por isso não podemos acessar os identificadores dos seus visitantes do nosso lado – deliberadamente, e é a mesma separação que impede vincular as visitas ao seu site às visitas a qualquer outro. Para seus visitantes, você é o controlador em qualquer caso, e o aviso do art. 13 pertence à sua política de privacidade. Sem o link, resta a eles o caminho manual acima.
5. Para onde enviar a solicitação
Envie-a ao responsável pelo site que você visitou, não a nós. Ele decide o que é gravado ali e é o controlador desses dados; o MousePlayer apenas os trata sob suas instruções.
Inclua o identificador e o site. O responsável pelo site pode excluir sessões individuais ou todas as sessões de um visitante por conta própria em sua conta MousePlayer, ou nos pedir que façamos isso – prestamos assistência sem demora injustificada.
Se não conseguir contatar o responsável pelo site, escreva para office@mouseplayer.com e indique o site. Encaminharemos a solicitação; não agiremos sobre ela por conta própria, pois essa decisão não cabe a nós.
Você não precisa esperar por ninguém para obter a eliminação dos dados: uma eliminação solicitada em sua página de dados é executada por nós sem consultar o responsável pelo site, em regra em minutos. Todo o resto – perguntas sobre o que foi gravado e por quê ou uma oposição à gravação em si – vai ao responsável pelo site, pois essas decisões são dele.
Se você próprio é cliente do MousePlayer, esta página diz respeito a você não como visitante, mas como titular da conta: você pode baixar os dados da conta em “Exportar meus dados” nas configurações e excluir a conta ali. Os detalhes estão na Política de Privacidade.
6. O que a eliminação realmente remove
Uma eliminação por identificador remove, em todas as sessões a ele pertencentes: movimentos do mouse, cliques e rolagem gravados; visualizações de página; eventos personalizados; cópia dos cliques mantida para mapas de calor; correspondências do rastreamento de elementos; índice de pesquisa dos textos exibidos; respostas de texto livre a pesquisas; análises derivadas, atribuições a perfis e timelines; medições de velocidade de página; notas internas sobre a sessão; links de compartilhamento que apontem para ela; arquivos de gravação arquivados; e o apelido do visitante junto com qualquer nome atribuído pelo responsável pelo site. Os próprios registros de sessão são eliminados junto com eles.
Um elemento é deliberadamente mantido, e é justo que você saiba: o registro de que uma decisão de consentimento foi tomada – seu horário, origem e o que foi decidido. O identificador é removido dele, de modo que não aponta mais para você. Mantemos esse registro porque devemos poder demonstrar que a gravação se baseou em consentimento (art. 5(2) do GDPR). Não contém dados comportamentais.
O resumo diário do mapa de calor também permanece: quantas vezes um ponto de uma página foi clicado, sem vínculo com qualquer sessão ou visitante.
Backups são uma questão separada. Dados eliminados no sistema em operação permanecem nas cópias de backup até sua expiração normal – no máximo após 364 dias. Não restauramos backups para reinserir dados eliminados; se algum dia precisarmos restaurar um backup, executaremos novamente as solicitações de eliminação já concluídas.
Uma eliminação solicitada na página de dados segue exatamente esse caminho. A página em si não exclui nada; anota a solicitação, e nosso processo em segundo plano a executa pela mesma cadeia, normalmente em minutos.
7. Os limites, ditos claramente
- Armazenamento do navegador limpo significa identificador perdido. Se você excluiu seus dados do site desde a visita, o identificador se perdeu e não podemos reconstruí-lo.
- Outro navegador ou dispositivo significa outro identificador. Não há vínculo entre eles – deliberadamente. Cada um precisa ser solicitado separadamente.
- Um endereço IP não é substituto. Endereços IP são armazenados apenas de forma mascarada, por isso não identificam ninguém individualmente.
Quando o identificador não pode ser apresentado e o responsável pelo site também não transmitiu seu próprio identificador de cliente (seção 1), não conseguimos atribuir nenhum dado a você e, nos termos do art. 11(2) do GDPR, os direitos de acesso e eliminação não podem ser exercidos com essa base. Isso é consequência de coletar o mínimo possível – não uma forma de evitar a solicitação.