Dit document is een vertaling van het Engelse origineel. In geval van tegenstrijdigheid tussen beide versies heeft de Engelse versie voorrang.
Dit document bevat de zelfevaluatie van de Nonli SDK aan de hand van de criteria die de CNIL heeft gepubliceerd voor oplossingen voor publieksmeting die zonder het verzamelen van toestemming kunnen worden geïmplementeerd, wanneer de oplossing correct is geconfigureerd.
Deze zelfevaluatie heeft uitsluitend betrekking op de Nonli SDK die wordt gebruikt om het publiek van redactionele content op de websites van uitgevende klanten te meten. Zij heeft geen betrekking op andere analysediensten die de uitgever op zijn eigen website kan installeren, noch op URL-taggingparameters die de klant voor zijn eigen analysetools kan configureren.
Overeenkomstig de door de CNIL aanbevolen formulering verklaart Nonli het volgende:
Op basis van onze zelfevaluatie voldoet de Nonli SDK aan de criteria die de CNIL heeft vastgesteld voor van toestemming vrijgestelde oplossingen voor publieksmeting, en kan zij zonder toestemming van de gebruiker worden geïmplementeerd indien zij correct is geconfigureerd.
Deze zelfevaluatie is geen certificering, validatie of goedkeuring door de CNIL. Zij documenteert de eigen analyse van Nonli, onverminderd enige analyse die de CNIL in het kader van haar taken kan uitvoeren.
1. Referenties#
- Pagina van de CNIL: Cookies: oplossingen voor tools voor publieksmeting
- Zelfevaluatietool van de CNIL voor de implementatie van een van toestemming vrijgestelde oplossing voor publieksmeting
- Artikel 82 van de Franse wet inzake gegevensbescherming
- Overeenkomst van Nonli op grond van de Algemene verordening gegevensbescherming (AVG): AVG - Gegevensverwerking
2. Samenvatting#
| Doelstelling van de CNIL | Beoordeling door Nonli | Motivering |
|---|---|---|
| Doel strikt beperkt tot publieksmeting | Conform | De SDK meet weergaven en redactionele statistieken, geaggregeerd per content, uitsluitend namens de uitgever. |
| Voorwaarden voor verwerking onder de AVG | Conform | De verplichtingen inzake verwerking, beveiliging, vertrouwelijkheid, bijstand en teruggave van gegevens zijn vastgelegd in de AVG-overeenkomst van Nonli. |
| Geen domeinoverschrijdende tracking | Conform | De SDK plaatst geen cookie, leest geen cookie van de site, maakt geen bezoekersidentificator aan en consolideert geen metingen tussen klanten. |
| Anonieme statistische gegevens | Conform | De resultaten zijn geaggregeerde tellers per content, merk of domein, zonder gebruikersidentificator. |
| Mechanisme voor bezwaar | Niet van toepassing | De SDK verwerkt geen persoonsgegevens in de publiekstellers; verwerking door de technische infrastructuur wordt afzonderlijk geregeld. |
3. Reikwijdte van het doel#
De Nonli SDK is beperkt tot redactionele publieksmeting en tot de handelingen die nodig zijn om die dienst te leveren:
- meting van paginaweergaven per content;
- geaggregeerde redactionele statistieken, zoals videoweergaven, reacties, paywallweergaven of paywallklikken die door de uitgever worden doorgegeven;
- detectie van navigatie- of beschikbaarheidsproblemen, zoals tellers voor content met de status “op voorraad” of “niet op voorraad”;
- technische optimalisatie en volumeschatting;
- analyse van geraadpleegde content op basis van de canonieke URL.
De Nonli SDK wordt niet gebruikt om:
- advertentiecampagnes te meten;
- gebruikerscohorten aan te maken;
- een individueel traject te personaliseren;
- retargeting uit te voeren;
- een eengemaakt bereik over meerdere domeinen te produceren;
- gegevens te verrijken met een CRM, DMP, CDP of identificator van derden.
4. Doelstelling 1 - Eén enkel doel: publieksmeting#
De Nonli SDK stelt uitsluitend de aanroepen beschikbaar die nodig zijn voor redactionele meting:
| Aanroep | Rol | Verwerkte gegevens |
|---|---|---|
sdk.js | Laden van de tag | Configuratie van domein en merk. |
pv.js | Tellen van paginaweergaven | Canonieke URL, steekproef, merk, publicatie- of wijzigingsdata indien beschikbaar. |
mcs.js | Tellen van redactionele statistieken | Geaggregeerde numerieke statistieken, zoals videoweergaven, reacties, paywallgebeurtenissen, hoeveelheid, bedrag en valuta. |
De SDK biedt geen functies voor marketing- of advertentiemeting. De verzamelde parameters houden strikt verband met de analyse van de geraadpleegde content.
Campagne- of analysetaggingparameters die aan bestemmingslinks kunnen worden toegevoegd, zoals utm_*, at_*, mtm_* of xtor, worden door Nonli niet standaard ingeschakeld. Wanneer zij door de klant worden geconfigureerd, behoren zij tot het eigen taggingplan en de eigen analysetools van de klant, en niet tot de hier beoordeelde publieksmeting van de SDK.
4.1. Minimalisatie van HTTP-headers#
HTTP-headers worden niet verzameld om publiekstellers te produceren. De met het verzoek ontvangen User-Agent wordt tijdelijk gebruikt om bots van de telling uit te sluiten. Van de User-Agent afgeleide informatie, zoals browserversie, besturingssysteem of platform, wordt niet in de tellers opgeslagen.
Geen enkele header, zoals taal, schermresolutie, IP-adres, platform of browseridentificator, wordt in de meetgegevens opgeslagen.
5. Doelstelling 2 - Voorwaarden voor verwerking onder de AVG#
Nonli treedt bij het leveren van de SDK op namens de uitgevende klant. De toepasselijke verplichtingen zijn beschreven in de AVG-overeenkomst, waaronder:
- vertrouwelijkheid van de gegevens;
- technische en organisatorische maatregelen;
- bijstand aan de uitgever bij verzoeken met betrekking tot rechten;
- melding van inbreuken in verband met persoonsgegevens;
- regels voor subverwerkers;
- teruggave of verwijdering van de gegevens aan het einde van de dienst.
De gegevens van de SDK zijn gescheiden per klant, merk en domein. Nonli voegt geen ruwe gegevens van verschillende uitgevers samen en hergebruikt geen klantgegevens voor eigen doeleinden.
Voor vragen of klachten kan de uitgever contact opnemen via [email protected].
5.1. Infrastructuur, TLS en CDN#
De korte domeinen die voor de SDK worden gebruikt, worden aangeboden op daarvoor bestemde subdomeinen. Nonli maakt gebruik van Cloudflare als technische leverancier voor het beheer van TLS-certificaten voor aangepaste domeinen en, afhankelijk van de domeinconfiguratie, voor de levering van het bestand sdk.js via het CDN.
Het genereren van TLS-certificaten berust op domeinvalidatie; daarbij wordt aan Cloudflare de voor die handeling vereiste informatie verstrekt, waaronder de hostnaam en de certificaatinstellingen. Bij deze handeling worden geen gegevens van de publieksmeting verzonden.
Het bestand sdk.js is een openbare, cachebare JavaScript-bron. De meetaanroepen pv.js en mcs.js worden door de Nonli-applicatie geleverd met private cacheheaders en CDN-headers no-store, en de Cloudflare-configuratie sluit ze uit van gedeelde caching in het CDN. Cloudflare-beschermingen die een browserchallenge of een cookie voor botbeheer zouden kunnen veroorzaken, zijn uitgesloten van de SDK-routes sdk.js, pv.js en mcs.js. Zij kunnen actief blijven op andere technische stromen, onder meer ter bescherming van korte domeinen, zonder te worden gebruikt voor de publieksmeting van de SDK.
6. Doelstelling 3 - Geen domeinoverschrijdende tracking#
De Nonli SDK is ontworpen zonder cookies en zonder bezoekersidentificatoren:
- er wordt geen cookie geplaatst;
- er wordt geen cookie van de site gelezen;
- er wordt geen domeinoverschrijdende identificator aangemaakt;
- er worden geen CRM-, DMP-, CDP- of advertentiegegevens geïmporteerd;
- er wordt geen fingerprinting uitgevoerd;
- er wordt geen individuele sessie gereconstrueerd.
De SDK wordt geïmplementeerd op een subdomein van het hoofddomein van de klant. De meting voor een merk of domein wordt nooit geconsolideerd met die van een ander merk of een andere klant.
6.1. IP-adres en logs#
Het applicatiepad van de SDK leest het IP-adres van de bezoeker niet voor publieksmeting. Het voert geen geolocatie, pseudonimisering van IP-adressen of opslag van IP-adressen in de tellers van de SDK uit.
Op het niveau van de reverse proxy van de productieomgeving van Nonli is toegangslogging uitgeschakeld voor de domeinen die de SDK leveren. Technische transportgegevens kunnen niettemin worden verwerkt door infrastructuurleveranciers, waaronder Cloudflare voor TLS, routering, beveiliging en caching, en door applicatielogs in uitzonderlijke gevallen van fouten. Deze technische verwerkingen worden niet gebruikt om publiekstellers te produceren en moeten worden geregeld door de toepasselijke verwerkersovereenkomsten, bewaartermijnen en beveiligingsmaatregelen.
6.2. HTTP-referrer#
De HTTP-referrer kan tijdelijk worden gebruikt om te controleren of de aanroep afkomstig is van hetzelfde subdomein als de opgegeven canonieke URL. Deze controle beperkt misbruik en voedt de publiekstellers niet.
7. Doelstelling 4 - Anonieme statistische gegevens#
De rapporten die Nonli op basis van de SDK produceert, bevatten uitsluitend anonieme en geaggregeerde statistieken:
- aantal weergaven;
- weergaven van content met de status “op voorraad” of “niet op voorraad”;
- redactionele numerieke statistieken die door de uitgever worden doorgegeven;
- aggregaties per content, merk of domein.
Bij deze tellers wordt geen gebruikersidentificator, browseridentificator, cookie, IP-adres of technische vingerafdruk opgeslagen. De filters die in de Nonli-interface beschikbaar zijn, kunnen daarom geen persoon isoleren of diens traject reconstrueren.
De Nonli SDK biedt geen session replay, schermopname, individuele heatmaps of op naam gebaseerde gedragstracking.
8. Doelstelling 5 - Recht van bezwaar#
De CNIL stelt dat een mechanisme voor bezwaar moet worden ingevoerd voor zover er sprake is van verwerking van persoonsgegevens in de zin van de AVG.
De Nonli SDK verwerkt geen persoonsgegevens in het pad voor publieksmeting:
- geen cookie;
- geen gebruik van het IP-adres voor publiekstellers;
- geen fingerprinting;
- geen bezoekersidentificator;
- geen domeinoverschrijdende consolidatie;
- tellers geaggregeerd per content en per klant.
Bijgevolg is voor de meting door de SDK geen specifiek mechanisme voor bezwaar vereist. Een gebruiker die toch niet wil worden geteld, kan het domein van de SDK blokkeren via zijn browser, netwerk of scriptblocker.
9. Operationele configuratie#
Om binnen de in deze zelfevaluatie beschreven reikwijdte te blijven, moet de uitgever de Nonli SDK in de standaardconfiguratie gebruiken:
- implementatie op het subdomein dat voor zijn merk wordt verstrekt;
- geen wijziging van de tag met het doel identificatoren of persoonsgegevens toe te voegen;
- informatie aan de gebruikers in zijn privacybeleid of cookiebeleid;
- geen combinatie met andere verwerkingen om bezoekers te identificeren.
De installatievoorwaarden zijn beschreven in de FAQ over de SDK: Nonli SDK (analysetag) - Vragen en antwoorden.