Consent Mode v2 и GDPR: какво може да изпраща един онлайн магазин

Consent Mode v2 е начинът на Google един уебсайт да съобщава на своите тагове на Google дали посетителят е приел бисквитките и използването на данните му за реклами. Той използва четири сигнала: ad_storage, analytics_storage, ad_user_data и ad_personalization. Сам не иска съгласие. Съгласие иска вашият банер за бисквитки, а Consent Mode предава отговора на Google.

Това ръководство обяснява четирите сигнала, основния и разширения Consent Mode, какво изисква правото на ЕС от един онлайн магазин на високо ниво, как се вписва проследяването от страна на сървъра и как ROASaurus се справя със съгласието.

Какво е Consent Mode v2?

Consent Mode е функция на Google за уебсайтове и приложения. Сайтът задава състояние на съгласие по подразбиране за всеки посетител, обикновено отказано, и го обновява, когато посетителят отговори на банера за бисквитки. Таговете на Google четат това състояние и променят поведението си. При съгласие работят нормално. Без съгласие не четат и не записват рекламни бисквитки и изпращат ограничени данни или нищо, в зависимост от настройката ви.

Версия 2 добави два сигнала, ad_user_data и ad_personalization. Google ги въведе, докато засилваше прилагането на своята политика за съгласие на потребителите от ЕС. За посетители от Европейското икономическо пространство (ЕИП) рекламодателите, които искат да използват персонализиране на рекламите и измерване, трябва да събират съгласие и да споделят сигналите за съгласие с Google. Самата политика обхваща посетители от ЕИП, Обединеното кралство и Швейцария.

Четирите сигнала за съгласие

Банерът за бисквитки съпоставя собствените си категории с тези сигнали. Обичайното съпоставяне е: категорията „маркетинг“ или „реклама“ задава ad_storage, ad_user_data и ad_personalization, а категорията „анализи“ или „статистика“ задава analytics_storage. Проверете как го прави вашият инструмент за съгласие, защото една грешка в съпоставянето изпраща грешен отговор към всеки таг на Google във вашия сайт.

Основен и разширен Consent Mode

Google предлага два начина за внедряване на Consent Mode. Разликата е какво се случва преди и без съгласие.

Технически Consent Mode работи с две команди. Командата default задава състоянието на съгласие, преди който и да е таг на Google да изпрати данни. Командата update го променя, когато посетителят отговори на банера.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Платформите за управление на съгласието обикновено изпращат тези команди вместо вас. Проверете дали го правят и дали изпращат update на всяка страница, след като посетителят е отговорил, а не само на страницата, където е показан банерът.

Какво изисква правото на ЕС от един онлайн магазин

Два закона на ЕС са най-важни за проследяването на реклами, а Google добавя своя собствена политика отгоре. Това е обобщение на високо ниво.

Правилата на ePrivacy за бисквитките

Директивата ePrivacy обхваща съхраняването на информация на устройството на посетителя, например бисквитки, и четенето ѝ обратно. Бисквитките, които са строго необходими за услуга, поискана от посетителя, като количката за пазаруване или вход в профил, не изискват съгласие. Бисквитките за проследяване за реклама изискват. Според насоките на ЕС за бизнеса съгласието е на първо място: такива бисквитки не могат да се задават, когато страницата се отвори за първи път. Съгласието трябва да се дава за всяка цел поотделно, а оттеглянето му трябва да е също толкова лесно, колкото даването.

GDPR и личните данни

GDPR се прилага за всяко използване на лични данни, като имейл адрес, телефонен номер или данни за поръчка. Всяко използване изисква едно от шест правни основания, например съгласие, договор или законни интереси. Можете да обработвате само данните, които са ви нужни за целта. Услуга, която обработва лични данни вместо вас, като инструмент за проследяване, се нуждае от писмен договор с вас.

Политиката на Google за съгласие на потребителите от ЕС

Ако използвате рекламните продукти на Google, тази политика добавя договорно задължение. За посетители от ЕИП, Обединеното кралство и Швейцария трябва да получите валидно съгласие за бисквитки, където законът го изисква, и за използването на лични данни за персонализиране на реклами. Трябва да водите записи за съгласието, да обяснявате как може да се оттегли и ясно да назовавате всяка страна, която получава данните.

Изисква ли проследяването от страна на сървъра съгласие?

Проследяването от страна на сървъра променя откъде се изпраща събитието: от вашия сървър вместо от браузъра на посетителя. То не променя какво имате право да изпращате. Две точки показват защо.

Първо, повечето настройки от страна на сървъра все пак започват в браузъра. Скрипт чете click ID от URL адреса на целевата страница и го съхранява на устройството, така че правилата на ePrivacy се прилагат за тази стъпка. Второ, изпращането на покупка с хеширан имейл, IP адрес или click ID към рекламна платформа е обработка на лични данни. Тя изисква правно основание по GDPR, независимо по какъв път минават данните. Нашето ръководство за това какво е проследяване от страна на сървъра обяснява техническата страна.

Свеждане на данните до минимум и хеширане

Изпращайте това, което платформата се нуждае, за да съпостави и отчете конверсията, а не цялата поръчка. Рекламните платформи изискват лични полета като имейл и телефон да бъдат нормализирани и хеширани със SHA-256, преди да бъдат изпратени. Хеширането защитава суровата стойност по пътя към платформата, но не е анонимизиране: платформата сравнява хеша със собствените си потребителски данни, за да намери съвпадение. Третирайте хешираните данни като лични данни.

Какво изпраща един онлайн магазин със и без съгласие

Като пример къде един инструмент поставя границата, ето какво прави ROASaurus в Shopify при включено Respect visitor consent, което е настройката по подразбиране.

Дали платената поръчка на посетител, който е отказал, може да бъде изпратена, е правен въпрос и отговорът може да се различава за всеки магазин и за всяка държава. ROASaurus я изпраща по подразбиране. Ако правният ви съвет гласи, че и събитията за покупка изискват предварително съгласие, свържете се с ROASaurus, преди да включите покупките от страна на сървъра. Съгласие и поверителност съдържа подробностите за Shopify и други онлайн магазини.

Как ROASaurus се справя със съгласието и сигналите на Consent Mode

ROASaurus не задава сигнали на Google Consent Mode за вашите тагове на Google. Той чете избора на посетителя от различен източник в зависимост от вашия онлайн магазин:

• В Shopify скриптът на витрината и пикселите на страницата за плащане четат Customer Privacy API на Shopify, който вашият банер за бисквитки попълва. Пикселът на страницата за плащане следва и избор, който купувачът променя по време на плащането. Ръководството за проследяване от страна на сървъра в Shopify показва как работи това стъпка по стъпка.
• В други онлайн магазини скриптът на ROASaurus чете OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, банери на IAB TCF, командите consent на Google Consent Mode и WP Consent API. При Google Consent Mode маркетингово съгласие означава, че ad_storage и ad_user_data са разрешени (granted), а другите категории можете да съпоставите за всеки инструмент. При друг банер извикайте tlq('consent', true) или tlq('consent', false), когато посетителят направи избор.
• Конверсиите за Google Ads се изпращат само от страницата за плащане на Shopify. ROASaurus зарежда тага на Google там само за купувачи, които приемат маркетинговите бисквитки, но не изпраща с него сигнали на Consent Mode.
• От сървъра ROASaurus предава избора в собствените полета за съгласие на Google: събитията към Google Analytics 4 носят ad_user_data и ad_personalization – разрешени (granted) за посетителите, дали съгласие, и отказани (denied) за поръчките, изпратени като анонимни продажби, а качванията на лийдове в Google Ads носят съгласието ad_user_data.

Вашите собствени тагове на Google все пак се нуждаят от Consent Mode. Ако стартирате тагове на Google Ads или Google Analytics във вашия сайт, вашият банер или инструмент за съгласие трябва да им изпраща сигналите. Ако рекламирате на посетители от ЕИП, проверете при доставчика на вашия инструмент за съгласие или при вашия разработчик дали пълната ви настройка, включително конверсиите за Google Ads от страницата за плащане, отговаря на изискванията на Google за вашия акаунт.

Контролен списък за съгласие за онлайн магазини

1. Инсталирайте банер за бисквитки

   Той трябва да блокира маркетинговите бисквитки, а там, където законът ви го изисква, и бисквитките за анализи, докато посетителят не се съгласи. В Shopify използвайте банер, който записва в Customer Privacy API.

2. Свържете банера с Consent Mode

   Задайте четирите сигнала като отказани по подразбиране и ги обновявайте от банера, така че таговете ви на Google да следват избора на посетителя.

3. Настройте инструмента си за проследяване да спазва съгласието

   В ROASaurus дръжте Respect visitor consent включено в Store settings. В онлайн магазини, различни от Shopify, проверете дали ROASaurus чете вашия инструмент за съгласие, или предавайте избора чрез tlq('consent', …).

4. Решете за покупките от страна на сървъра

   Попитайте вашия юридически съветник дали платените поръчки на посетители, които са отказали, могат да бъдат изпращани и на кое правно основание.

5. Актуализирайте известието за поверителност и договорите си

   Назовете всяка рекламна платформа, която получава данни, обяснете как може да се оттегли съгласието и подпишете споразумение за обработка на данни с всеки обработващ.

6. Тествайте двата отговора

   Откажете бисквитките в частен прозорец на браузъра и проверете в инструментите за разработчици, че не се зарежда рекламен пиксел и не се задава бисквитка с ID на посетителя. След това приемете и проверете дали и двете се появяват.

Източници

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

В ROASaurus

• Помощ: съгласие и поверителност
• Проследяване от страна на сървъра в ROASaurus
• Интеграция с Google Ads
• Интеграция с Shopify

Продължете да четете