Este documento é uma tradução do original em inglês. Em caso de divergência entre as duas versões, prevalece a versão inglesa.
O presente documento apresenta a autoavaliação do SDK da Nonli face aos critérios publicados pela CNIL para as soluções de medição de audiência que podem ser implementadas sem recolha de consentimento, quando corretamente configuradas.
A presente autoavaliação abrange apenas o SDK da Nonli utilizado para medir a audiência de conteúdos editoriais nos sítios Web dos clientes editores. Não abrange outros serviços de análise que o editor possa instalar no seu próprio sítio Web, nem os parâmetros de etiquetagem de URL que o cliente possa configurar para as suas próprias ferramentas de análise.
Em conformidade com a formulação recomendada pela CNIL, a Nonli declara o seguinte:
Com base na nossa autoavaliação, o SDK da Nonli cumpre os critérios estabelecidos pela CNIL para as soluções de medição de audiência dispensadas de consentimento e pode ser implementado sem exigir o consentimento do utilizador, se for corretamente configurado.
A presente autoavaliação não constitui uma certificação, validação ou aprovação pela CNIL. Documenta a análise própria da Nonli, sem prejuízo de qualquer análise que a CNIL possa realizar no âmbito das suas atribuições.
1. Referências#
- Página da CNIL: Cookies: soluções para as ferramentas de medição de audiência
- Ferramenta de autoavaliação da CNIL para a implementação de uma solução de medição de audiência dispensada de consentimento
- Artigo 82.º da lei francesa relativa à proteção de dados
- Acordo RGPD da Nonli: RGPD - Tratamento de dados
2. Resumo#
| Objetivo da CNIL | Avaliação da Nonli | Fundamentação |
|---|---|---|
| Finalidade estritamente limitada à medição de audiência | Conforme | O SDK mede visualizações e métricas editoriais agregadas por conteúdo, exclusivamente por conta do editor. |
| Condições de tratamento previstas no RGPD | Conforme | Os compromissos em matéria de tratamento, segurança, confidencialidade, assistência e devolução de dados estão documentados no acordo RGPD da Nonli. |
| Ausência de rastreio entre domínios | Conforme | O SDK não instala nenhum cookie, não lê nenhum cookie do sítio, não cria nenhum identificador de visitante e não consolida a medição entre clientes. |
| Dados estatísticos anónimos | Conforme | Os resultados são contadores agregados por conteúdo, marca ou domínio, sem identificador de utilizador. |
| Mecanismo de oposição | Não aplicável | O SDK não trata dados pessoais nos contadores de audiência; o tratamento ao nível da infraestrutura técnica é regido separadamente. |
3. Âmbito da finalidade#
O SDK da Nonli limita-se à medição de audiência editorial e às operações necessárias à prestação desse serviço:
- medição de visualizações de página por conteúdo;
- métricas editoriais agregadas, como visualizações de vídeo, comentários, visualizações de paywall ou cliques no paywall transmitidos pelo editor;
- deteção de problemas de navegação ou de disponibilidade, como contadores de conteúdos em stock ou esgotados;
- otimização técnica e estimativa de volume;
- análise dos conteúdos consultados com base no URL canónico.
O SDK da Nonli não é utilizado para:
- medir campanhas publicitárias;
- criar coortes de utilizadores;
- personalizar um percurso individual;
- efetuar retargeting;
- produzir um alcance unificado em vários domínios;
- enriquecer os dados com um CRM, DMP, CDP ou identificador de terceiros.
4. Objetivo 1 - Finalidade única de medição de audiência#
O SDK da Nonli expõe apenas as chamadas necessárias à medição editorial:
| Chamada | Função | Dados tratados |
|---|---|---|
sdk.js | Carregamento da etiqueta | Configuração do domínio e da marca. |
pv.js | Contagem de visualizações de página | URL canónico, amostragem, marca, datas de publicação ou de modificação quando disponíveis. |
mcs.js | Contagem de métricas editoriais | Métricas numéricas agregadas, como visualizações de vídeo, comentários, eventos de paywall, quantidade, montante e moeda. |
O SDK não disponibiliza funcionalidades de medição de marketing ou de publicidade. Os parâmetros recolhidos estão estritamente associados à análise do conteúdo consultado.
Os parâmetros de campanha ou de etiquetagem analítica que possam ser acrescentados aos links de destino, como utm_*, at_*, mtm_* ou xtor, não são ativados por predefinição pela Nonli. Quando configurados pelo cliente, pertencem ao plano de etiquetagem e às ferramentas de análise do próprio cliente, e não à medição de audiência do SDK avaliada no presente documento.
4.1. Minimização dos cabeçalhos HTTP#
Os cabeçalhos HTTP não são recolhidos para produzir contadores de audiência. O User-Agent recebido com o pedido é utilizado de forma transitória para excluir os bots da contagem. As informações derivadas do User-Agent, como a versão do navegador, o sistema operativo ou a plataforma, não são conservadas nos contadores.
Nenhum cabeçalho, como o idioma, a resolução do ecrã, o endereço IP, a plataforma ou o identificador do navegador, é armazenado nos dados de medição.
5. Objetivo 2 - Condições de tratamento previstas no RGPD#
A Nonli atua por conta do cliente editor na prestação do SDK. Os compromissos aplicáveis estão descritos no acordo RGPD, nomeadamente:
- confidencialidade dos dados;
- medidas técnicas e organizativas;
- assistência ao editor nos pedidos de exercício de direitos;
- notificação de violações de dados pessoais;
- regras aplicáveis aos subcontratantes ulteriores;
- devolução ou eliminação dos dados no termo do serviço.
Os dados do SDK são isolados por cliente, marca e domínio. A Nonli não agrega dados brutos entre editores e não reutiliza os dados dos clientes para os seus próprios fins.
Para qualquer questão ou reclamação, o editor pode contactar [email protected].
5.1. Infraestrutura, TLS e CDN#
Os domínios curtos utilizados pelo SDK são servidos em subdomínios dedicados. A Nonli recorre à Cloudflare como prestador técnico para a gestão dos certificados TLS de domínios personalizados e, consoante a configuração do domínio, para a distribuição do ficheiro sdk.js através de CDN.
A geração dos certificados TLS baseia-se na validação do domínio e transmite à Cloudflare as informações necessárias a essa operação, nomeadamente o nome do anfitrião e os parâmetros do certificado. Esta operação não transmite dados de medição de audiência.
O ficheiro sdk.js é um recurso JavaScript público e passível de ser colocado em cache. As chamadas de medição pv.js e mcs.js são servidas pela aplicação da Nonli com cabeçalhos de cache privados e cabeçalhos CDN no-store, e a configuração da Cloudflare exclui-as da cache partilhada da CDN. As proteções da Cloudflare suscetíveis de criar um desafio no navegador ou um cookie de gestão de bots estão excluídas das rotas do SDK sdk.js, pv.js e mcs.js. Podem manter-se ativas noutros fluxos técnicos, nomeadamente para proteger os domínios curtos, sem serem utilizadas para a medição de audiência do SDK.
6. Objetivo 3 - Ausência de rastreio entre domínios#
O SDK da Nonli foi concebido sem cookies e sem identificadores de visitante:
- nenhum cookie é instalado;
- nenhum cookie do sítio é lido;
- nenhum identificador entre domínios é criado;
- nenhum dado de CRM, DMP, CDP ou de publicidade é importado;
- nenhum fingerprinting é efetuado;
- nenhuma sessão individual é reconstituída.
O SDK é implementado num subdomínio do domínio principal do cliente. A medição de uma marca ou de um domínio nunca é consolidada com a de outra marca ou de outro cliente.
6.1. Endereço IP e registos#
O percurso aplicacional do SDK não lê o endereço IP do visitante para efeitos de medição de audiência. Não efetua geolocalização, pseudonimização do IP nem armazenamento do IP nos contadores do SDK.
Ao nível do proxy inverso de produção da Nonli, o registo de acessos está desativado para os domínios que servem o SDK. Podem, no entanto, ser tratados dados técnicos de transporte pelos prestadores de infraestrutura, nomeadamente pela Cloudflare para efeitos de TLS, encaminhamento, segurança e cache, bem como nos registos aplicacionais em casos excecionais de erro. Estes tratamentos técnicos não são utilizados para produzir contadores de audiência e devem ser regidos pelos acordos de tratamento, prazos de conservação e medidas de segurança aplicáveis.
6.2. Referrer HTTP#
O referrer HTTP pode ser utilizado de forma transitória para verificar que a chamada provém do mesmo subdomínio que o URL canónico declarado. Esta verificação limita os abusos e não alimenta os contadores de audiência.
7. Objetivo 4 - Dados estatísticos anónimos#
Os relatórios produzidos pela Nonli a partir do SDK contêm apenas estatísticas anónimas e agregadas:
- número de visualizações;
- visualizações de conteúdos em stock ou esgotados;
- métricas numéricas editoriais transmitidas pelo editor;
- agregações por conteúdo, marca ou domínio.
Nenhum identificador de utilizador, identificador de navegador, cookie, endereço IP ou impressão digital técnica é armazenado com estes contadores. Os filtros disponíveis na interface da Nonli não permitem, por conseguinte, isolar uma pessoa nem reconstituir o seu percurso.
O SDK da Nonli não disponibiliza repetição de sessões, gravação de ecrã, mapas de calor individuais nem rastreio comportamental nominativo.
8. Objetivo 5 - Direito de oposição#
A CNIL indica que deve ser implementado um mecanismo de oposição na medida em que exista um tratamento de dados pessoais na aceção do RGPD.
O SDK da Nonli não trata dados pessoais no seu percurso de medição de audiência:
- nenhum cookie;
- nenhuma utilização do endereço IP para os contadores de audiência;
- nenhum fingerprinting;
- nenhum identificador de visitante;
- nenhuma consolidação entre domínios;
- contadores agregados por conteúdo e por cliente.
Em consequência, não é exigido nenhum mecanismo de oposição específico para a medição do SDK. O utilizador que, ainda assim, não pretenda ser contabilizado pode bloquear o domínio do SDK através do seu navegador, da sua rede ou de um bloqueador de scripts.
9. Configuração operacional#
Para permanecer no âmbito descrito na presente autoavaliação, o editor deve utilizar o SDK da Nonli na sua configuração padrão:
- implementação no subdomínio previsto para a sua marca;
- nenhuma modificação da etiqueta destinada a acrescentar identificadores ou dados pessoais;
- informação dos utilizadores na sua política de privacidade ou política de cookies;
- nenhuma combinação com outros tratamentos que permita identificar visitantes.
As condições de instalação estão descritas na FAQ do SDK: Nonli SDK (analytics tag) - Q&A.