Consent Mode v2 ve GDPR: bir online mağaza neleri gönderebilir

Consent Mode v2, bir web sitesinin Google etiketlerine ziyaretçinin çerezleri ve verilerinin reklamlar için kullanılmasını kabul edip etmediğini bildirmesinin Google'a özgü yoludur. Dört sinyal kullanır: ad_storage, analytics_storage, ad_user_data ve ad_personalization. Rızayı kendisi istemez. Çerez bildiriminiz sorar, Consent Mode ise yanıtı Google'a iletir.

Bu rehber dört sinyali, temel ve gelişmiş Consent Mode'u, AB hukukunun bir online mağazadan genel hatlarıyla ne beklediğini, sunucu tarafı takibin bunun neresinde yer aldığını ve ROASaurus'un rızayı nasıl ele aldığını anlatır.

Consent Mode v2 nedir?

Consent Mode, web siteleri ve uygulamalar için bir Google özelliğidir. Site her ziyaretçi için varsayılan bir rıza durumu belirler, genellikle reddedilmiş, ve ziyaretçi çerez bildirimini yanıtladığında onu günceller. Google etiketleri bu durumu okur ve davranışlarını değiştirir. Rıza varsa normal çalışırlar. Rıza yoksa reklam çerezlerini okumaz ya da yazmazlar ve kurulumunuza bağlı olarak sınırlı veri gönderirler ya da hiç göndermezler.

2. sürüm ad_user_data ve ad_personalization olmak üzere iki sinyal ekledi. Google bunları AB kullanıcı rızası politikasının uygulanmasını güçlendirirken getirdi. Avrupa Ekonomik Alanı'ndaki (AEA) ziyaretçiler için, reklam kişiselleştirme ve ölçümü kullanmak isteyen reklamverenler rıza toplamalı ve rıza sinyallerini Google ile paylaşmalıdır. Politikanın kendisi AEA'daki, Birleşik Krallık'taki ve İsviçre'deki ziyaretçileri kapsar.

Dört rıza sinyali

Bir çerez bildirimi kendi kategorilerini bu sinyallerle eşler. Yaygın bir eşleme şöyledir: pazarlama ya da reklam kategorisi ad_storage, ad_user_data ve ad_personalization değerlerini, analiz ya da istatistik kategorisi ise analytics_storage değerini belirler. Rıza aracınızın bunu nasıl yaptığını kontrol edin, çünkü tek bir eşleme hatası sitenizdeki her Google etiketine yanlış yanıt gönderir.

Temel ve gelişmiş Consent Mode

Google, Consent Mode'u uygulamak için iki yol sunar. Fark, rızadan önce ve rıza olmadan ne olduğudur.

Teknik olarak Consent Mode iki komutla çalışır. Varsayılan komut, herhangi bir Google etiketi veri göndermeden önce rıza durumunu belirler. Güncelleme komutu ise ziyaretçi bildirimi yanıtladığında onu değiştirir.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Rıza yönetim platformları bu komutları genellikle sizin yerinize gönderir. Gönderdiklerini ve güncellemeyi, ziyaretçi yanıt verdikten sonra yalnızca bildirimin gösterildiği sayfada değil, her sayfada gönderdiklerini kontrol edin.

AB hukukunun bir online mağazadan beklediği

Reklam takibi için en önemli iki AB yasası vardır ve Google bunların üzerine kendi politikasını ekler. Bu, genel hatlarıyla bir özettir.

Çerezlere ilişkin ePrivacy kuralları

ePrivacy Yönergesi, çerezler gibi bir ziyaretçinin cihazında bilgi saklamayı ve bunu geri okumayı kapsar. Alışveriş sepeti ya da oturum açma gibi, ziyaretçinin istediği bir hizmet için kesinlikle gerekli olan çerezler rıza gerektirmez. Reklam amaçlı takip çerezleri gerektirir. AB'nin işletmelere yönelik rehberine göre rıza önce gelir: bu tür çerezler sayfa ilk açıldığında ayarlanamaz. Rıza amaç başına verilmelidir ve geri çekmek vermek kadar kolay olmalıdır.

Kişisel verilere ilişkin GDPR

GDPR, e-posta adresi, telefon numarası ya da bir siparişin ayrıntıları gibi kişisel verinin her kullanımına uygulanır. Her kullanım, örneğin rıza, sözleşme ya da meşru menfaatler gibi altı hukuki dayanaktan birine ihtiyaç duyar. Yalnızca amaç için gereken veriyi işleyebilirsiniz. Kişisel verileri sizin adınıza işleyen bir hizmetin, örneğin bir takip aracının, sizinle yazılı bir sözleşmesi olmalıdır.

Google'ın AB kullanıcı rızası politikası

Google'ın reklam ürünlerini kullanıyorsanız bu politika bir sözleşme yükümlülüğü ekler. AEA, Birleşik Krallık ve İsviçre'deki ziyaretçiler için, yasanın gerektirdiği yerde çerezler için ve reklamları kişiselleştirmek amacıyla kişisel verinin kullanımı için geçerli rıza almalısınız. Rıza kayıtlarını tutmalı, nasıl geri çekileceğini açıklamalı ve veriyi alan her tarafı açıkça adlandırmalısınız.

Sunucu tarafı takip rıza gerektirir mi?

Sunucu tarafı takip, bir olayın nereden gönderildiğini değiştirir: ziyaretçinin tarayıcısı yerine sunucunuzdan. Neyi gönderebileceğinizi değiştirmez. İki nokta nedenini gösterir.

Birincisi, çoğu sunucu tarafı kurulum yine de tarayıcıda başlar. Bir betik tıklama kimliğini açılış URL'sinden okur ve cihazda saklar; bu yüzden ePrivacy kuralları o adım için geçerlidir. İkincisi, bir satın alımı hash'lenmiş bir e-posta, bir IP adresi ya da bir tıklama kimliğiyle bir reklam platformuna göndermek, kişisel verinin işlenmesidir. Verinin izlediği yol ne olursa olsun, GDPR kapsamında bir hukuki dayanağa ihtiyaç duyar. Sunucu tarafı takip nedir rehberimiz teknik tarafı anlatır.

Veri minimizasyonu ve hash'leme

Platformun dönüşümü eşleştirmesi ve sayması için gerekeni gönderin, siparişin tamamını değil. Reklam platformları e-posta ve telefon gibi kişisel alanların gönderilmeden önce normalleştirilmesini ve SHA-256 ile hash'lenmesini ister. Hash'leme ham değeri platforma giderken korur, ama anonimleştirme değildir: platform hash'i, bir eşleşme bulmak için kendi kullanıcı verisiyle karşılaştırır. Hash'lenmiş veriyi kişisel veri olarak değerlendirin.

Bir online mağaza rıza ile ve rızasız neleri gönderir

Bir aracın sınırı nereye çizdiğine örnek olarak, ROASaurus'un Shopify'da, varsayılan olan Respect visitor consent açıkken ne yaptığı şöyle.

Reddeden bir ziyaretçinin ödenmiş siparişinin gönderilip gönderilemeyeceği hukuki bir sorudur ve yanıt mağazaya ve ülkeye göre değişebilir. ROASaurus bunu varsayılan olarak gönderir. Hukuki danışmanlığınız satın alım olaylarının da önceden rıza gerektirdiğini söylüyorsa, sunucu tarafı satın alımları açmadan önce ROASaurus ile iletişime geçin. Shopify ve diğer online mağazalara ilişkin ayrıntılar Rıza ve gizlilik sayfasındadır.

ROASaurus rızayı ve Consent Mode sinyallerini nasıl ele alır

ROASaurus Google etiketleriniz için Google Consent Mode sinyallerini ayarlamaz. Ziyaretçinin tercihini online mağazanıza göre farklı bir kaynaktan okur:

• Shopify'da vitrin betiği ve ödeme sayfası pikselleri, çerez bildiriminizin doldurduğu Shopify Customer Privacy API'sini okur. Ödeme sayfası pikseli, alışveriş yapanın ödeme sırasında değiştirdiği bir seçimi de izler. Shopify'da sunucu tarafı takip rehberi bunun adım adım nasıl çalıştığını gösterir.
• Diğer online mağazalarda ROASaurus betiği OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF bildirimlerini, Google Consent Mode'un consent komutlarını ve WP Consent API'sini okur. Google Consent Mode'da pazarlama rızası, ad_storage ve ad_user_data için izin verilmiş (granted) olması anlamına gelir; diğer kategorileri her araç için ayrı eşleyebilirsiniz. Başka bir bildirimle, ziyaretçi seçim yaptığında tlq('consent', true) ya da tlq('consent', false) çağırın.
• Google Ads dönüşümleri yalnızca Shopify ödeme sayfasından gönderilir. ROASaurus Google etiketini orada yalnızca pazarlama çerezlerine izin veren alışveriş yapanlar için yükler, ama onunla birlikte Consent Mode sinyalleri göndermez.
• Sunucudan ROASaurus tercihi Google'ın kendi rıza alanlarıyla iletir: Google Analytics 4 olayları ad_user_data ve ad_personalization taşır; bunlar rıza veren ziyaretçiler için granted, anonim satış olarak gönderilen siparişler için denied olur. Google Ads'e yapılan potansiyel müşteri yüklemeleri de ad_user_data rızasını taşır.

Kendi Google etiketleriniz yine de Consent Mode'a ihtiyaç duyar. Sitenizde Google Ads ya da Google Analytics etiketleri çalıştırıyorsanız bildiriminiz ya da rıza aracınız sinyalleri onlara göndermelidir. AEA'daki ziyaretçilere reklam veriyorsanız, ödeme sayfasından gelen Google Ads dönüşümleri dahil tüm kurulumunuzun hesabınız için Google'ın gereksinimlerini karşılayıp karşılamadığını rıza aracı sağlayıcınıza ya da yazılımcınıza sorun.

Online mağazalar için rıza kontrol listesi

1. Bir çerez bildirimi kurun

   Ziyaretçi kabul edene kadar pazarlama çerezlerini ve yasanızın gerektirdiği yerde analiz çerezlerini engellemelidir. Shopify'da Customer Privacy API'sine yazan bir bildirim kullanın.

2. Bildirimi Consent Mode ile eşleyin

   Dört sinyali varsayılan olarak reddedilmiş olarak ayarlayın ve bildirimden güncelleyin; böylece Google etiketleriniz ziyaretçinin seçimini izler.

3. Takip aracınızı rızaya uyacak şekilde ayarlayın

   ROASaurus'ta Store settings içinde Respect visitor consent seçeneğini açık tutun. Shopify dışındaki online mağazalarda ROASaurus'un rıza aracınızı okuduğunu kontrol edin ya da tercihi tlq('consent', …) ile iletin.

4. Sunucu tarafı satın alımlara karar verin

   Hukuk danışmanınıza, reddeden ziyaretçilerin ödenmiş siparişlerinin gönderilip gönderilemeyeceğini ve hangi hukuki dayanakla gönderilebileceğini sorun.

5. Gizlilik bildiriminizi ve sözleşmelerinizi güncelleyin

   Veri alan her reklam platformunu adlandırın, rızanın nasıl geri çekileceğini açıklayın ve her veri işleyiciyle bir veri işleme sözleşmesi imzalayın.

6. İki yanıtı da test edin

   Özel bir tarayıcı penceresinde çerezleri reddedin ve geliştirici araçlarında hiçbir reklam pikselinin yüklenmediğini ve hiçbir ziyaretçi kimliği çerezinin ayarlanmadığını kontrol edin. Sonra kabul edin ve ikisinin de göründüğünü kontrol edin.

Kaynaklar

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

ROASaurus'ta

• Yardım: rıza ve gizlilik
• ROASaurus'ta sunucu tarafı takip
• Google Ads entegrasyonu
• Shopify entegrasyonu

Okumaya devam edin