Niniejszy dokument jest tłumaczeniem oryginału w języku angielskim. W przypadku rozbieżności między obiema wersjami rozstrzygająca jest wersja angielska.
Niniejszy dokument przedstawia samoocenę Nonli SDK według kryteriów opublikowanych przez CNIL dla rozwiązań do pomiaru oglądalności, które mogą być wdrażane bez zbierania zgody, o ile rozwiązanie jest prawidłowo skonfigurowane.
Niniejsza samoocena obejmuje wyłącznie Nonli SDK służący do pomiaru oglądalności treści redakcyjnych na stronach internetowych klientów będących wydawcami. Nie obejmuje innych usług analitycznych, które wydawca może zainstalować na własnej stronie internetowej, ani parametrów tagowania adresów URL, które klient może skonfigurować na potrzeby własnych narzędzi analitycznych.
Zgodnie z brzmieniem zalecanym przez CNIL Nonli oświadcza, co następuje:
Na podstawie naszej samooceny Nonli SDK spełnia kryteria ustanowione przez CNIL dla rozwiązań do pomiaru oglądalności zwolnionych z obowiązku uzyskania zgody i może być wdrażany bez konieczności uzyskania zgody użytkownika, o ile jest prawidłowo skonfigurowany.
Niniejsza samoocena nie stanowi certyfikacji, walidacji ani zatwierdzenia przez CNIL. Dokumentuje ona własną analizę Nonli, bez uszczerbku dla jakiejkolwiek analizy, którą CNIL może przeprowadzić w ramach swoich zadań.
1. Odniesienia#
- Strona CNIL: Cookies: solutions for audience measurement tools
- Narzędzie samooceny CNIL dotyczące wdrażania rozwiązania do pomiaru oglądalności zwolnionego z obowiązku uzyskania zgody
- Artykuł 82 francuskiej ustawy o ochronie danych
- Umowa RODO Nonli: RODO - przetwarzanie danych
2. Podsumowanie#
| Cel CNIL | Ocena Nonli | Uzasadnienie |
|---|---|---|
| Cel ściśle ograniczony do pomiaru oglądalności | Zgodny | SDK mierzy wyświetlenia i wskaźniki redakcyjne zagregowane według treści, wyłącznie w imieniu wydawcy. |
| Warunki przetwarzania zgodnie z RODO | Zgodny | Zobowiązania dotyczące przetwarzania, bezpieczeństwa, poufności, pomocy i zwrotu danych są udokumentowane w umowie RODO Nonli. |
| Brak śledzenia między domenami | Zgodny | SDK nie ustawia żadnego pliku cookie, nie odczytuje plików cookie strony, nie tworzy identyfikatora odwiedzającego i nie konsoliduje pomiaru między klientami. |
| Anonimowe dane statystyczne | Zgodny | Wyniki stanowią zagregowane liczniki według treści, marki lub domeny, bez identyfikatora użytkownika. |
| Mechanizm sprzeciwu | Nie dotyczy | SDK nie przetwarza danych osobowych w licznikach oglądalności; przetwarzanie w ramach infrastruktury technicznej podlega odrębnym zasadom. |
3. Zakres celu#
Nonli SDK ogranicza się do pomiaru oglądalności treści redakcyjnych oraz do operacji niezbędnych do świadczenia tej usługi:
- pomiar odsłon według treści;
- zagregowane wskaźniki redakcyjne, takie jak wyświetlenia wideo, komentarze, wyświetlenia paywalla lub kliknięcia w paywall przekazywane przez wydawcę;
- wykrywanie problemów z nawigacją lub dostępnością, takich jak liczniki treści dostępnych i niedostępnych;
- optymalizacja techniczna i szacowanie wolumenu;
- analiza przeglądanych treści na podstawie kanonicznego adresu URL.
Nonli SDK nie jest wykorzystywany do:
- pomiaru kampanii reklamowych;
- tworzenia kohort użytkowników;
- personalizacji indywidualnej ścieżki użytkownika;
- retargetingu;
- tworzenia ujednoliconego zasięgu w wielu domenach;
- wzbogacania danych o identyfikator z systemu CRM, DMP, CDP lub od strony trzeciej.
4. Cel 1 - Jeden cel pomiaru oglądalności#
Nonli SDK udostępnia wyłącznie wywołania potrzebne do pomiaru redakcyjnego:
| Wywołanie | Rola | Przetwarzane dane |
|---|---|---|
sdk.js | Ładowanie znacznika | Konfiguracja domeny i marki. |
pv.js | Liczenie odsłon | Kanoniczny adres URL, próbkowanie, marka, daty publikacji lub modyfikacji, jeśli są dostępne. |
mcs.js | Liczenie wskaźników redakcyjnych | Zagregowane wskaźniki liczbowe, takie jak wyświetlenia wideo, komentarze, zdarzenia paywalla, ilość, kwota i waluta. |
SDK nie udostępnia funkcji pomiaru marketingowego ani reklamowego. Zbierane parametry są ściśle powiązane z analizą przeglądanych treści.
Parametry kampanii lub tagowania analitycznego, które mogą być dodawane do linków docelowych, takie jak utm_*, at_*, mtm_* lub xtor, nie są domyślnie włączone przez Nonli. Gdy skonfiguruje je klient, należą do jego własnego planu tagowania i jego własnych narzędzi analitycznych, a nie do pomiaru oglądalności SDK ocenianego w niniejszym dokumencie.
4.1. Minimalizacja nagłówków HTTP#
Nagłówki HTTP nie są zbierane w celu tworzenia liczników oglądalności. Nagłówek User-Agent otrzymany wraz z żądaniem jest wykorzystywany przejściowo do wykluczania botów z liczenia. Informacje wywodzone z nagłówka User-Agent, takie jak wersja przeglądarki, system operacyjny lub platforma, nie są utrwalane w licznikach.
Żaden nagłówek, taki jak język, rozdzielczość ekranu, adres IP, platforma lub identyfikator przeglądarki, nie jest przechowywany w danych pomiarowych.
5. Cel 2 - Warunki przetwarzania zgodnie z RODO#
Nonli działa w imieniu klienta będącego wydawcą, świadcząc usługę SDK. Obowiązujące zobowiązania opisano w umowie RODO, w tym:
- poufność danych;
- środki techniczne i organizacyjne;
- pomoc wydawcy w realizacji żądań dotyczących praw osób, których dane dotyczą;
- zgłaszanie naruszeń ochrony danych osobowych;
- zasady dotyczące dalszych podmiotów przetwarzających;
- zwrot lub usunięcie danych po zakończeniu świadczenia usługi.
Dane SDK są izolowane według klienta, marki i domeny. Nonli nie łączy surowych danych różnych wydawców i nie wykorzystuje danych klientów do własnych celów.
W razie jakichkolwiek pytań lub skarg wydawca może skontaktować się pod adresem [email protected].
5.1. Infrastruktura, TLS i CDN#
Krótkie domeny wykorzystywane przez SDK są obsługiwane w dedykowanych subdomenach. Nonli korzysta z Cloudflare jako dostawcy technicznego do zarządzania certyfikatami TLS dla domen niestandardowych oraz, w zależności od konfiguracji domeny, do dostarczania pliku sdk.js przez CDN.
Generowanie certyfikatów TLS opiera się na weryfikacji domeny i przekazuje Cloudflare informacje niezbędne do tej operacji, w tym nazwę hosta i ustawienia certyfikatu. Ta operacja nie przekazuje danych z pomiaru oglądalności.
Plik sdk.js jest publicznym zasobem JavaScript, który może być buforowany. Wywołania pomiarowe pv.js i mcs.js są obsługiwane przez aplikację Nonli z prywatnymi nagłówkami pamięci podręcznej i nagłówkami CDN no-store, a konfiguracja Cloudflare wyłącza je ze współdzielonego buforowania w CDN. Zabezpieczenia Cloudflare, które mogłyby wywołać weryfikację w przeglądarce lub utworzyć plik cookie zarządzania botami, są wyłączone dla tras SDK sdk.js, pv.js i mcs.js. Mogą pozostać aktywne w innych przepływach technicznych, w tym w celu ochrony krótkich domen, bez wykorzystywania ich do pomiaru oglądalności SDK.
6. Cel 3 - Brak śledzenia między domenami#
Nonli SDK został zaprojektowany bez plików cookie i bez identyfikatorów odwiedzających:
- żaden plik cookie nie jest ustawiany;
- żaden plik cookie strony nie jest odczytywany;
- żaden identyfikator międzydomenowy nie jest tworzony;
- żadne dane z systemów CRM, DMP, CDP ani dane reklamowe nie są importowane;
- nie stosuje się fingerprintingu;
- żadna indywidualna sesja nie jest odtwarzana.
SDK jest wdrażany w subdomenie głównej domeny klienta. Pomiar dla jednej marki lub domeny nigdy nie jest konsolidowany z inną marką ani innym klientem.
6.1. Adres IP i logi#
Ścieżka aplikacji SDK nie odczytuje adresu IP odwiedzającego na potrzeby pomiaru oglądalności. Nie przeprowadza geolokalizacji, pseudonimizacji adresów IP ani ich przechowywania w licznikach SDK.
Na poziomie produkcyjnego reverse proxy Nonli rejestrowanie dostępu jest wyłączone dla domen obsługujących SDK. Techniczne dane transportowe mogą jednak być przetwarzane przez dostawców infrastruktury, w tym Cloudflare w zakresie TLS, routingu, bezpieczeństwa i pamięci podręcznej, oraz przez logi aplikacji w wyjątkowych przypadkach błędów. Te techniczne operacje przetwarzania nie służą do tworzenia liczników oglądalności i muszą podlegać obowiązującym umowom powierzenia przetwarzania, okresom przechowywania i środkom bezpieczeństwa.
6.2. Referer HTTP#
Referer HTTP może być wykorzystywany przejściowo do sprawdzenia, czy wywołanie pochodzi z tej samej subdomeny co zadeklarowany kanoniczny adres URL. Sprawdzenie to ogranicza nadużycia i nie zasila liczników oglądalności.
7. Cel 4 - Anonimowe dane statystyczne#
Raporty tworzone przez Nonli na podstawie SDK zawierają wyłącznie anonimowe i zagregowane statystyki:
- liczbę wyświetleń;
- wyświetlenia treści dostępnych i niedostępnych;
- wskaźniki liczbowe treści redakcyjnych przekazywane przez wydawcę;
- agregacje według treści, marki lub domeny.
Z tymi licznikami nie jest przechowywany żaden identyfikator użytkownika, identyfikator przeglądarki, plik cookie, adres IP ani techniczny odcisk urządzenia. Filtry dostępne w interfejsie Nonli nie pozwalają zatem wyodrębnić osoby ani odtworzyć jej ścieżki.
Nonli SDK nie udostępnia odtwarzania sesji, nagrywania ekranu, indywidualnych map cieplnych ani imiennego śledzenia zachowań.
8. Cel 5 - Prawo sprzeciwu#
CNIL wskazuje, że mechanizm sprzeciwu musi zostać wdrożony, o ile występuje przetwarzanie danych osobowych w rozumieniu RODO.
Nonli SDK nie przetwarza danych osobowych w swojej ścieżce pomiaru oglądalności:
- brak plików cookie;
- brak wykorzystania adresu IP w licznikach oglądalności;
- brak fingerprintingu;
- brak identyfikatora odwiedzającego;
- brak konsolidacji międzydomenowej;
- liczniki zagregowane według treści i według klienta.
W konsekwencji dla pomiaru SDK nie jest wymagany żaden szczególny mechanizm sprzeciwu. Użytkownik, który mimo to nie chce być liczony, może zablokować domenę SDK za pomocą przeglądarki, sieci lub blokera skryptów.
9. Konfiguracja operacyjna#
Aby pozostać w zakresie opisanym w niniejszej samoocenie, wydawca musi stosować Nonli SDK w konfiguracji standardowej:
- wdrożenie w subdomenie przewidzianej dla jego marki;
- brak modyfikacji znacznika mających na celu dodanie identyfikatorów lub danych osobowych;
- informowanie użytkowników w polityce prywatności lub polityce plików cookie;
- brak łączenia z innymi operacjami przetwarzania w celu identyfikacji odwiedzających.
Zasady instalacji opisano w FAQ dotyczącym SDK: Nonli SDK (analytics tag) - Q&A.