Согласие и конфиденциальность

Как ROASaurus работает с согласием на cookie, данными клиентов и запросами по GDPR.

ROASaurus работает в вашем магазине как ваш обработчик данных. Нужно ли согласие посетителя, решаете вы. Если посетитель отказывается, он не получает visitor id, поэтому его клики по рекламе и визиты не связываются с ним, а его браузерные события не отправляются в рекламные платформы. Сам оплаченный заказ по-прежнему отправляется с сервера с хешированными данными заказа, как объясняется ниже.

Настройка согласия

У каждого магазина есть настройка Consent в разделе Store settings:

Respect visitor consent (по умолчанию и обязательно в ЕС). ROASaurus проверяет маркетинговое согласие посетителя, прежде чем отслеживать его.
Strict. Пока посетитель не дал согласие, ничего не отправляется и ничего не считывается с устройства и не записывается на него, а сервер отбрасывает любое браузерное событие без явного согласия. Если посетитель даёт согласие позже, отправляется только просмотр этой страницы.
Always track. Только для магазинов, которые продают там, где согласие не требуется.

Настройка Anonymous measurement по умолчанию выключена. Если её включить, посетители, которые отказались или не сделали выбор, учитываются, но никогда не отслеживаются: один небольшой запрос на каждый просмотр страницы, просмотр товара, добавление в корзину и начало оформления заказа, без cookie, хранилища, идентификаторов и рекламных пикселей, с добавлением к дневным итогам. Допустимо ли это для ваших посетителей — юридический вопрос, поэтому ROASaurus никогда не включает эту настройку сам. Страница Consent в дашборде показывает долю согласий, а также заказы и выручку по статусу согласия.

В Shopify

При включённой настройке Respect visitor consent скрипт витрины и пиксель чекаута считывают Customer Privacy API Shopify, который заполняет ваш cookie-баннер (собственный баннер Shopify или приложение для согласий). Если посетитель не дал маркетинговое согласие:

cookie с visitor id не устанавливается, click id и UTM, появившиеся при его просмотре сайта, не сохраняются;
браузерные пиксели (Meta, TikTok, Snapchat, Pinterest, Reddit и другие) не загружаются;
просмотры страниц, добавления в корзину и начала оформления заказа записываются без visitor id, IP-адреса, данных браузера и контактных данных, а также без строки запроса в адресе страницы, где находятся click id и метки кампаний. В рекламные платформы они не отправляются.

Если посетитель позже меняет свой выбор, в том числе во время оформления заказа, ROASaurus следует новому выбору. Если у магазина вообще нет cookie-баннера, API Shopify ничего не сообщает, и ROASaurus считает посетителя давшим согласие (кроме режима Strict), поэтому установите баннер до начала продаж в ЕС.

Shopify включает в данные заказа адрес посадочной страницы заказа, и этот адрес может содержать метки кампании и click id. ROASaurus использует его только в ваших собственных отчётах, как запасной вариант для атрибуции; в рекламные платформы он не отправляется.

В других интернет-магазинах

Скрипт ROASaurus считывает выбор посетителя из вашего инструмента согласия: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, любого баннера IAB TCF, Google Consent Mode или WP Consent API (его заполняют другие плагины согласия для WordPress). В настройках согласия магазина можно выбрать инструмент и сопоставить его собственные категории с аналитикой и маркетингом. При использовании другого инструмента вызовите tlq('consent', true), когда посетитель принимает маркетинговые cookie, и tlq('consent', false), когда он отказывается. Пока посетитель не принял, действуют те же правила, что и в Shopify: нет visitor id, нет click id и контактных данных, браузерные пиксели не срабатывают. Если на странице вообще нет инструмента согласия, ROASaurus считает посетителя давшим согласие, кроме режима Strict.

Плагин WooCommerce сохраняет в заказе cookie отслеживания, только если посетитель разрешил маркетинговые cookie.

Покупки, отправляемые с сервера

Покупки берутся из данных ваших заказов (вебхук заказов Shopify или коннектор вашей платформы), а не из браузера. Для заказа, посетитель которого отказался, нет visitor id или click id, которые можно было бы добавить. Событие покупки всё равно формируется из заказа: оно включает данные клиента из этого заказа в хешированном виде, а также IP-адрес и браузер, с которых был оформлен заказ. Оно уходит в Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft и Taboola; LinkedIn и получатели, добавленные после него, по такому заказу ничего не получают, а Google Analytics 4 получает его как анонимную продажу. Если по заключению вашего юриста для событий покупки тоже нужно предварительное согласие, свяжитесь с нами, прежде чем включать серверные покупки.

Что хранится и отправляется

Email-адреса, номера телефонов и адреса хешируются с помощью SHA-256 перед отправкой в рекламную платформу.
Cookie с visitor id _tl устанавливается на домене вашего магазина на 365 дней и только при наличии согласия. ROASaurus считывает собственные cookie платформ (например, _fbp и _fbc), если они есть.
Никакого браузерного фингерпринтинга. Краулеры, генераторы превью ссылок и headless-браузеры отфильтровываются на сервере.
Токены платформ и API-ключи хранятся в зашифрованном виде.
Владельцы выбирают, сколько хранить необработанные события и данные посетителей: от 30 дней до 2 лет.
Данные хранятся в Амстердаме, Нидерланды. Субобработчики перечислены в соглашении об обработке данных.

Запросы по GDPR

Вебхуки конфиденциальности Shopify обрабатываются автоматически. Запрос на удаление данных клиента (customer redaction) удаляет персональные данные этого клиента из заказов, которые хранит ROASaurus, а также контактные данные, IP-адреса и данные браузера из визитов, связанных с этими заказами. Запрос на удаление данных магазина (shop redaction), поступающий через 48 часов после удаления приложения, стирает все записи магазина. По запросу данных клиента ROASaurus собирает всё, что хранит об этом клиенте (заказы, связанные события на витрине, клики по рекламе и ответы из опросов), отправляет письмо владельцам и администраторам магазина и даёт им скачать эти данные на странице Shopify магазина, чтобы передать клиенту. Там же отображается каждый запрос. Удаление магазина в дашборде сразу удаляет его данные. Для других интернет-магазинов напишите на hello@roasaurus.com, указав email клиента, и мы обработаем запрос. Наша собственная роль и сроки хранения описаны в политике конфиденциальности.

Всё ещё не получается? Напишите нам.