Análise ética. O mínimo de dados necessário.
Entender o comportamento dos usuários não deveria custar a privacidade das pessoas. No MousePlayer, criamos ferramentas para gerar conhecimento, não para vigiar.
Acreditamos que uma análise digital robusta e uma privacidade de dados rigorosa não se excluem. O MousePlayer foi projetado desde a base com uma arquitetura que coloca a privacidade em primeiro lugar, para que você obtenha a telemetria necessária para melhorar a sua UI/UX com o mínimo possível de dados pessoais. Esses dados não são anônimos - são pseudonimizados, e abaixo explicamos exatamente o que isso significa.
Pseudônimos, não nomes
Importa *como* se interage com os elementos, não *quem* interage com eles. O MousePlayer atribui identificadores aleatórios e pseudônimos a visitantes e sessões; eles valem apenas no site em questão. Não há rastreamento entre sites, nem fingerprinting, nem qualquer tentativa de identificar os seus visitantes. Um nome ou o seu próprio ID de cliente para um visitante só existe se você, como responsável pelo site, enviá-lo ou atribuí-lo. Perfis comportamentais e análises de IA descrevem grupos de visitas ou visitantes pseudônimos individuais dentro do seu projeto; eles não são vinculados a dados de outros projetos nem de outros clientes.
Mascaramento no navegador
As entradas são mascaradas na origem. Senhas e dados de pagamento em todos os níveis de mascaramento e, por padrão, todo o texto digitado em campos de formulário ficam ilegíveis diretamente no navegador do visitante, antes que qualquer dado seja transmitido aos nossos servidores. O que a sua própria página exibe não está coberto por isso; para isso servem os marcadores mais abaixo.
Seus dados, isolados
Somos fornecedores de uma ferramenta, não corretores de dados. Os seus dados de telemetria ficam estritamente isolados no seu espaço de trabalho. Não vendemos os dados dos seus visitantes e não os repassamos para publicidade, criação de perfis ou marketing de terceiros. Os dados só saem do MousePlayer para destinatários que você mesmo configura (integrações e links de compartilhamento), para as partes indicadas na lista de suboperadores e quando somos legalmente obrigados a divulgá-los.
Como funciona o rastreamento ético
1. Higienização de entradas de formulário & teclas digitadas
Assistir à reprodução de uma sessão deve revelar atritos de usabilidade, não segredos pessoais. O script de rastreamento do MousePlayer, executado no navegador, aplica uma lógica rigorosa de higienização. Quando um usuário interage com campos de entrada comuns, os dados gravados são mascarados instantaneamente por padrão. Você verá que o usuário digitou em um campo, o que permite avaliar o tempo de interação, mas os caracteres em si são substituídos por indicadores ilegíveis ou removidos por completo. Campos de senha e de pagamento continuam mascarados em todos os níveis de mascaramento. Há dois limites, e nós os nomeamos em vez de disfarçá-los: os dois níveis de mascaramento mais fracos só são ativados mediante nossa aprovação por escrito, e o mascaramento nunca alcança o que a sua própria página escreve no documento. Ambos estão descritos no acordo de tratamento de dados.
2. Mascaramento de elementos do DOM
Para sites que lidam com dados altamente sensíveis (como portais médicos ou painéis financeiros), o MousePlayer permite que os desenvolvedores marquem as áreas que nunca devem ser gravadas. Há dois marcadores, e eles fazem coisas diferentes.
O atributo data-mp-mask, ou a classe mp-masked, no elemento que envolve uma área sensível. Dentro dessa área, cada caractere que não seja espaço em branco de cada nó de texto é substituído por um asterisco antes que a captura da página saia do navegador, e cada valor de atributo, exceto os de uma pequena lista técnica de permissões, é substituído por [FILTERED]. A substituição acontece em uma cópia; a página que o visitante vê não é alterada.
O atributo data-mp-ignore, ou a classe mp-ignore, tem alcance menor: ele suprime os valores dos campos de formulário. Ele não remove nada da captura da página.
Observação: mp-mask — sem o prefixo data- e sem o ed no final — não é um marcador e não tem efeito. Se você o usou, substitua-o por data-mp-mask.
“A nossa filosofia é simples: o que nunca coletamos não pode ser exposto, vazado nem mal utilizado. Privacidade não é um recurso que se liga e desliga; ela faz parte da base da nossa arquitetura.”
3. Geolocalização transparente
A partir do endereço IP do visitante, determinamos país, cidade e operadora de rede quando a conexão é estabelecida. O endereço em si é armazenado apenas de forma truncada (no IPv4 sem o último octeto, no IPv6 sem o último bloco). O endereço completo fica apenas na memória durante a conexão, por alguns segundos para detectar inundações de conexões e - quando é bloqueado automaticamente por suspeita de ataque - por até 24 horas como entrada de bloqueio no nosso cache.
4. Visualização ao vivo efêmera
O nosso Live Viewer transmite as coordenadas do mouse e as alterações da página a quem assiste por conexões criptografadas (WSS). A visualização ao vivo em si não cria nenhuma cópia adicional; só é armazenado o que já seria armazenado como gravação da sessão. Quando a conexão ao vivo termina, o buffer temporário na memória é limpo.