Этичная аналитика. Минимум необходимых данных.
Понимание поведения не должно стоить человеку конфиденциальности. В MousePlayer мы создаём инструменты анализа, а не слежки.
Мы считаем, что надёжная цифровая аналитика совместима со строгой защитой данных. Архитектура MousePlayer с самого начала ставит конфиденциальность на первое место: вы получаете телеметрию для улучшения UI/UX с минимумом персональных данных. Они не анонимны, а псевдонимны; ниже объясняется, что это значит.
Псевдонимы вместо имён
Нас интересует, *как* взаимодействуют с элементами, а не *кто*. MousePlayer назначает случайные псевдонимные идентификаторы посетителям и сеансам, действующие только на конкретном сайте. Нет межсайтового отслеживания, отпечатков браузера и попыток установить личность. Имя или ваш ID клиента существует лишь при вашей передаче или назначении. Профили поведения и ИИ-анализы описывают группы визитов или отдельных псевдонимных посетителей проекта, не связываясь с другими проектами или клиентами.
Маскирование в браузере
Ввод скрывается у источника. Пароли и платёжные данные на любом уровне, а по умолчанию весь ввод в формы становятся нечитаемыми прямо в браузере до передачи на серверы. Отображаемое самой страницей сюда не входит: для него существуют метки ниже.
Ваши данные изолированы
Мы поставщик инструмента, а не продавец данных. Телеметрия строго изолирована внутри рабочего пространства. Мы не продаём данные посетителей и не передаём их для рекламы, профилирования или маркетинга третьих лиц. Данные покидают MousePlayer только получателям, настроенным вами (интеграции и общие ссылки), указанным субобработчикам и при обязательном раскрытии по закону.
Как работает этичное отслеживание
1. Очистка ввода форм и нажатий клавиш
Просмотр записи должен выявлять проблемы удобства, а не личные секреты. Клиентский скрипт MousePlayer строго очищает данные. При вводе в стандартные поля данные по умолчанию сразу скрываются. Видно, что пользователь печатал, и можно оценить время взаимодействия, но символы заменяются нечитаемыми знаками или удаляются. Пароли и платёжные поля скрыты на любом уровне. Два ограничения названы прямо: ослабленные уровни доступны только с письменного одобрения, а маскирование не затрагивает вывод самой страницы в документ. Оба условия описаны в DPA.
2. Маскирование элементов DOM
На сайтах с особо чувствительными данными, например медицинских порталах или финансовых панелях, разработчики могут отметить области, которые нельзя записывать. Есть две метки с разными задачами.
Атрибут data-mp-mask или класс mp-masked, заданный элементу-обёртке чувствительной области. Внутри каждый непробельный символ каждого текстового узла заменяется звёздочкой до отправки снимка; все значения атрибутов, кроме короткого технического списка разрешений, заменяются на [FILTERED]. Замена происходит в копии: видимая посетителю страница не меняется.
Атрибут data-mp-ignore или класс mp-ignore, действует уже: скрывает значения полей форм. Из снимка страницы ничего не удаляет.
Примечание: mp-mask — без префикса data- и завершающего ed — не является меткой и не действует. Если использовали, замените на data-mp-mask.
«Наша философия проста: не собранное нами нельзя раскрыть, потерять или использовать во зло. Конфиденциальность — не переключаемая функция, а основа архитектуры».
3. Прозрачная геолокация
По IP посетителя при соединении определяются страна, город и оператор сети. Сам адрес хранится только сокращённо: IPv4 без последнего октета, IPv6 без последнего блока. Полный адрес остаётся в памяти лишь на время соединения, несколько секунд для обнаружения потока соединений и, при автоблокировке из-за подозрения на атаку, до 24 часов как запись блокировки в кэше.
4. Временный живой просмотр
Live Viewer передаёт координаты мыши и изменения страницы по зашифрованным соединениям WSS. Сам живой просмотр не создаёт дополнительной копии: хранится только обычная запись сеанса. После завершения живого соединения временный буфер памяти очищается.