Questo documento è una traduzione dell'originale inglese. In caso di discrepanze tra le due versioni prevale la versione inglese.
Questo documento presenta l'autovalutazione dell'SDK Nonli rispetto ai criteri pubblicati dalla CNIL per le soluzioni di misurazione dell'audience che possono essere implementate senza raccolta del consenso, quando la soluzione è configurata correttamente.
Questa autovalutazione riguarda esclusivamente l'SDK Nonli utilizzato per misurare l'audience dei contenuti editoriali sui siti web dei clienti editori. Non riguarda gli altri servizi di analytics che l'editore può installare sul proprio sito web, né i parametri di tagging degli URL che il cliente può configurare per i propri strumenti di analytics.
In linea con la formulazione raccomandata dalla CNIL, Nonli dichiara quanto segue:
Sulla base della nostra autovalutazione, l'SDK Nonli rispetta i criteri stabiliti dalla CNIL per le soluzioni di misurazione dell'audience esenti da consenso e può essere implementato senza richiedere il consenso dell'utente se è configurato correttamente.
Questa autovalutazione non costituisce una certificazione, una convalida né un'approvazione da parte della CNIL. Documenta l'analisi condotta da Nonli, fatta salva qualsiasi analisi che la CNIL possa svolgere nell'ambito dei propri compiti.
1. Riferimenti#
- Pagina della CNIL: Cookie: soluzioni per gli strumenti di misurazione dell'audience
- Strumento di autovalutazione della CNIL per l'implementazione di una soluzione di misurazione dell'audience esente da consenso
- Articolo 82 della legge francese sulla protezione dei dati
- Accordo GDPR di Nonli: GDPR - Trattamento dei dati
2. Riepilogo#
| Obiettivo CNIL | Valutazione di Nonli | Motivazione |
|---|---|---|
| Finalità strettamente limitata alla misurazione dell'audience | Conforme | L'SDK misura le visualizzazioni e le metriche editoriali aggregate per contenuto, esclusivamente per conto dell'editore. |
| Condizioni di trattamento ai sensi del GDPR | Conforme | Gli impegni in materia di trattamento, sicurezza, riservatezza, assistenza e restituzione dei dati sono documentati nell'accordo GDPR di Nonli. |
| Nessun tracciamento cross-domain | Conforme | L'SDK non imposta alcun cookie, non legge alcun cookie del sito, non crea alcun identificativo del visitatore e non consolida la misurazione tra clienti. |
| Dati statistici anonimi | Conforme | I risultati sono contatori aggregati per contenuto, brand o dominio, senza alcun identificativo dell'utente. |
| Meccanismo di opposizione | Non applicabile | L'SDK non tratta dati personali nei contatori di audience; il trattamento dell'infrastruttura tecnica è disciplinato separatamente. |
3. Ambito della finalità#
L'SDK Nonli è limitato alla misurazione dell'audience editoriale e alle operazioni necessarie per erogare tale servizio:
- misurazione delle visualizzazioni di pagina per contenuto;
- metriche editoriali aggregate, come visualizzazioni video, commenti, visualizzazioni del paywall o clic sul paywall trasmessi dall'editore;
- rilevamento di problemi di navigazione o di disponibilità, come i contatori di contenuti disponibili o esauriti;
- ottimizzazione tecnica e stima dei volumi;
- analisi dei contenuti consultati in base all'URL canonico.
L'SDK Nonli non viene utilizzato per:
- misurare le campagne pubblicitarie;
- creare coorti di utenti;
- personalizzare un percorso individuale;
- effettuare retargeting;
- produrre una copertura unificata su più domini;
- arricchire i dati con un identificativo di CRM, DMP, CDP o di terzi.
4. Obiettivo 1 - Un'unica finalità di misurazione dell'audience#
L'SDK Nonli espone soltanto le chiamate necessarie per la misurazione editoriale:
| Chiamata | Ruolo | Dati trattati |
|---|---|---|
sdk.js | Caricamento del tag | Configurazione del dominio e del brand. |
pv.js | Conteggio delle visualizzazioni di pagina | URL canonico, campionamento, brand, date di pubblicazione o modifica quando disponibili. |
mcs.js | Conteggio delle metriche editoriali | Metriche numeriche aggregate, come visualizzazioni video, commenti, eventi del paywall, quantità, importo e valuta. |
L'SDK non offre funzionalità di misurazione di marketing o pubblicitaria. I parametri raccolti sono strettamente legati all'analisi del contenuto consultato.
I parametri di campagna o di tagging di analytics che possono essere aggiunti ai link di destinazione, come utm_*, at_*, mtm_* o xtor, non sono abilitati per impostazione predefinita da Nonli. Quando sono configurati dal cliente, rientrano nel piano di tagging e negli strumenti di analytics del cliente stesso, e non nella misurazione dell'audience dell'SDK oggetto della presente valutazione.
4.1. Minimizzazione delle intestazioni HTTP#
Le intestazioni HTTP non vengono raccolte per produrre i contatori di audience. Lo User-Agent ricevuto con la richiesta viene utilizzato in modo transitorio per escludere i bot dal conteggio. Le informazioni derivate dallo User-Agent, come la versione del browser, il sistema operativo o la piattaforma, non vengono conservate nei contatori.
Nei dati di misurazione non viene memorizzata alcuna intestazione quale lingua, risoluzione dello schermo, indirizzo IP, piattaforma o identificativo del browser.
5. Obiettivo 2 - Condizioni di trattamento ai sensi del GDPR#
Nella fornitura dell'SDK, Nonli agisce per conto dell'editore cliente. Gli impegni applicabili sono descritti nell'accordo GDPR, tra cui:
- riservatezza dei dati;
- misure tecniche e organizzative;
- assistenza all'editore per le richieste di esercizio dei diritti;
- notifica delle violazioni dei dati personali;
- regole sui sub-responsabili del trattamento;
- restituzione o cancellazione dei dati al termine del servizio.
I dati dell'SDK sono isolati per cliente, brand e dominio. Nonli non mette in comune i dati grezzi tra editori e non riutilizza i dati dei clienti per finalità proprie.
Per qualsiasi domanda o reclamo, l'editore può contattare [email protected].
5.1. Infrastruttura, TLS e CDN#
I domini abbreviati utilizzati per l'SDK sono serviti su sottodomini dedicati. Nonli utilizza Cloudflare come fornitore tecnico per la gestione dei certificati TLS dei domini personalizzati e, in base alla configurazione del dominio, per la distribuzione tramite CDN del file sdk.js.
La generazione dei certificati TLS si basa sulla convalida del dominio e comunica a Cloudflare le informazioni necessarie per tale operazione, tra cui il nome host e le impostazioni del certificato. Questa operazione non comporta l'invio di dati di misurazione dell'audience.
Il file sdk.js è una risorsa JavaScript pubblica e memorizzabile nella cache. Le chiamate di misurazione pv.js e mcs.js sono servite dall'applicazione Nonli con intestazioni di cache privata e intestazioni CDN no-store, e la configurazione di Cloudflare le esclude dalla cache CDN condivisa. Le protezioni di Cloudflare che potrebbero creare una verifica nel browser (challenge) o un cookie di gestione dei bot sono escluse dalle rotte dell'SDK sdk.js, pv.js e mcs.js. Possono restare attive su altri flussi tecnici, anche per proteggere i domini abbreviati, senza essere utilizzate per la misurazione dell'audience dell'SDK.
6. Obiettivo 3 - Nessun tracciamento cross-domain#
L'SDK Nonli è progettato senza cookie e senza identificativi del visitatore:
- non viene impostato alcun cookie;
- non viene letto alcun cookie del sito;
- non viene creato alcun identificativo cross-domain;
- non vengono importati dati di CRM, DMP, CDP o pubblicitari;
- non viene effettuato alcun fingerprinting;
- non viene ricostruita alcuna sessione individuale.
L'SDK è distribuito su un sottodominio del dominio principale del cliente. La misurazione di un brand o di un dominio non viene mai consolidata con quella di un altro brand o di un altro cliente.
6.1. Indirizzo IP e log#
Il percorso applicativo dell'SDK non legge l'indirizzo IP del visitatore ai fini della misurazione dell'audience. Non effettua geolocalizzazione, pseudonimizzazione dell'IP né memorizzazione dell'IP nei contatori dell'SDK.
A livello di reverse proxy di produzione di Nonli, la registrazione degli accessi è disattivata per i domini che servono l'SDK. I dati tecnici di trasporto possono tuttavia essere trattati dai fornitori di infrastruttura, tra cui Cloudflare per TLS, instradamento, sicurezza e cache, e dai log applicativi in casi eccezionali di errore. Questi trattamenti tecnici non sono utilizzati per produrre i contatori di audience e devono essere disciplinati dagli accordi di trattamento, dai periodi di conservazione e dalle misure di sicurezza applicabili.
6.2. Referrer HTTP#
Il referrer HTTP può essere utilizzato in modo transitorio per verificare che la chiamata provenga dallo stesso sottodominio dell'URL canonico dichiarato. Questa verifica limita gli abusi e non alimenta i contatori di audience.
7. Obiettivo 4 - Dati statistici anonimi#
I report prodotti da Nonli a partire dall'SDK contengono soltanto statistiche anonime e aggregate:
- numero di visualizzazioni;
- visualizzazioni di contenuti disponibili o esauriti;
- metriche numeriche editoriali trasmesse dall'editore;
- aggregazioni per contenuto, brand o dominio.
Insieme a questi contatori non viene memorizzato alcun identificativo dell'utente, identificativo del browser, cookie, indirizzo IP o impronta tecnica. I filtri disponibili nell'interfaccia di Nonli non possono quindi isolare una persona né ricostruirne il percorso.
L'SDK Nonli non offre session replay, registrazione dello schermo, heatmap individuali né tracciamento comportamentale nominativo.
8. Obiettivo 5 - Diritto di opposizione#
La CNIL precisa che un meccanismo di opposizione deve essere implementato nella misura in cui sussista un trattamento di dati personali ai sensi del GDPR.
L'SDK Nonli non tratta dati personali nel proprio percorso di misurazione dell'audience:
- nessun cookie;
- nessun utilizzo dell'indirizzo IP per i contatori di audience;
- nessun fingerprinting;
- nessun identificativo del visitatore;
- nessun consolidamento cross-domain;
- contatori aggregati per contenuto e per cliente.
Di conseguenza, per la misurazione tramite SDK non è richiesto alcun meccanismo di opposizione specifico. Un utente che desideri comunque non essere conteggiato può bloccare il dominio dell'SDK tramite il proprio browser, la propria rete o un blocco degli script.
9. Configurazione operativa#
Per restare nell'ambito descritto in questa autovalutazione, l'editore deve utilizzare l'SDK Nonli nella sua configurazione standard:
- distribuzione sul sottodominio previsto per il proprio brand;
- nessuna modifica del tag volta ad aggiungere identificativi o dati personali;
- informazione degli utenti nella propria informativa sulla privacy o cookie policy;
- nessuna combinazione con altri trattamenti per identificare i visitatori.
Le modalità di installazione sono descritte nelle FAQ dell'SDK: SDK Nonli (tag di analytics) - Domande e risposte.