Detta dokument är en översättning av originalet på engelska. Vid avvikelser mellan versionerna har den engelska versionen företräde.
Detta dokument redovisar självutvärderingen av Nonli SDK mot de kriterier som CNIL har publicerat för publikmätningslösningar som kan införas utan att samtycke inhämtas, när lösningen är korrekt konfigurerad.
Denna självutvärdering omfattar endast det Nonli SDK som används för att mäta publiken för redaktionellt innehåll på utgivarkunders webbplatser. Den omfattar inte andra analystjänster som utgivaren själv kan installera på sin webbplats, och inte heller URL-taggningsparametrar som kunden kan konfigurera för sina egna analysverktyg.
I linje med CNIL:s rekommenderade formulering anger Nonli följande:
Enligt vår självutvärdering uppfyller Nonli SDK de kriterier som CNIL har fastställt för publikmätningslösningar som är undantagna från samtyckeskravet, och kan införas utan att användarens samtycke krävs om det är korrekt konfigurerat.
Denna självutvärdering är inte en certifiering, validering eller godkännande från CNIL. Den dokumenterar Nonlis egen analys, utan att det påverkar någon analys som CNIL kan genomföra inom ramen för sina uppdrag.
1. Referenser#
- CNIL-sida: Cookies: lösningar för verktyg för publikmätning
- CNIL:s självutvärderingsverktyg för att införa en publikmätningslösning som är undantagen från samtyckeskravet
- Artikel 82 i den franska dataskyddslagen
- Nonlis GDPR-avtal: GDPR - Databehandling
2. Sammanfattning#
| CNIL:s mål | Nonlis bedömning | Motivering |
|---|---|---|
| Ändamålet är strikt begränsat till publikmätning | Uppfyllt | SDK mäter visningar och redaktionella mätvärden aggregerade per innehåll, enbart för utgivarens räkning. |
| GDPR-villkor för behandlingen | Uppfyllt | Åtagandena om behandling, säkerhet, konfidentialitet, stöd och återlämnande av uppgifter är dokumenterade i Nonlis GDPR-avtal. |
| Ingen spårning över flera domäner | Uppfyllt | SDK sätter ingen cookie, läser ingen cookie på webbplatsen, skapar ingen besöksidentifierare och konsoliderar inte mätningar mellan kunder. |
| Anonyma statistiska uppgifter | Uppfyllt | Resultaten är aggregerade räknare per innehåll, varumärke eller domän, utan användaridentifierare. |
| Mekanism för att invända | Ej tillämpligt | SDK behandlar inga personuppgifter i publikräknarna; behandling i den tekniska infrastrukturen regleras separat. |
3. Ändamålets omfattning#
Nonli SDK är begränsat till redaktionell publikmätning och de åtgärder som krävs för att tillhandahålla den tjänsten:
- mätning av sidvisningar per innehåll;
- aggregerade redaktionella mätvärden, till exempel videovisningar, kommentarer, visningar av betalvägg eller klick på betalvägg som utgivaren överför;
- upptäckt av problem med navigering eller tillgänglighet, till exempel räknare för innehåll som finns eller inte finns i lager;
- teknisk optimering och volymuppskattning;
- analys av visat innehåll baserad på den kanoniska URL:en.
Nonli SDK används inte för att:
- mäta reklamkampanjer;
- skapa användarkohorter;
- anpassa en enskild användares resa;
- bedriva retargeting;
- ta fram en enhetlig räckvidd över flera domäner;
- berika uppgifter med en CRM-, DMP-, CDP- eller tredjepartsidentifierare.
4. Mål 1 - Ett enda ändamål: publikmätning#
Nonli SDK exponerar endast de anrop som behövs för redaktionell mätning:
| Anrop | Roll | Behandlade uppgifter |
|---|---|---|
sdk.js | Laddning av taggen | Konfiguration av domän och varumärke. |
pv.js | Räkning av sidvisningar | Kanonisk URL, sampling, varumärke, publicerings- eller ändringsdatum när de finns. |
mcs.js | Räkning av redaktionella mätvärden | Aggregerade numeriska mätvärden, till exempel videovisningar, kommentarer, betalväggshändelser, kvantitet, belopp och valuta. |
SDK tillhandahåller inga funktioner för marknadsförings- eller reklammätning. De parametrar som samlas in är strikt kopplade till analysen av det visade innehållet.
Kampanj- eller analystaggningsparametrar som kan läggas till i mållänkar, till exempel utm_*, at_*, mtm_* eller xtor, är inte aktiverade som standard av Nonli. När de konfigureras av kunden hör de till kundens egen taggningsplan och egna analysverktyg, inte till den SDK-publikmätning som bedöms här.
4.1. Minimering av HTTP-huvuden#
HTTP-huvuden samlas inte in för att ta fram publikräknare. User-Agent som tas emot med begäran används tillfälligt för att utesluta botar från räkningen. Information som härleds från User-Agent, till exempel webbläsarversion, operativsystem eller plattform, sparas inte i räknarna.
Inget huvud, såsom språk, skärmupplösning, IP-adress, plattform eller webbläsaridentifierare, lagras i mätdata.
5. Mål 2 - GDPR-villkor för behandlingen#
Nonli agerar för utgivarkundens räkning när SDK tillhandahålls. De tillämpliga åtagandena beskrivs i GDPR-avtalet, bland annat:
- konfidentialitet för uppgifterna;
- tekniska och organisatoriska åtgärder;
- hjälp till utgivaren vid begäranden om utövande av rättigheter;
- anmälan av personuppgiftsincidenter;
- regler för underbiträden;
- återlämnande eller radering av uppgifter när tjänsten upphör.
SDK-data hålls åtskilda per kund, varumärke och domän. Nonli slår inte samman rådata mellan utgivare och återanvänder inte kunders uppgifter för egna ändamål.
Vid frågor eller klagomål kan utgivaren kontakta [email protected].
5.1. Infrastruktur, TLS och CDN#
De korta domäner som används för SDK serveras på särskilda underdomäner. Nonli använder Cloudflare som teknisk leverantör för hantering av TLS-certifikat för egna domäner och, beroende på domänens konfiguration, för CDN-leverans av filen sdk.js.
Skapandet av TLS-certifikat bygger på domänvalidering och skickar till Cloudflare den information som krävs för åtgärden, bland annat värdnamnet och certifikatinställningarna. Åtgärden skickar inga publikmätningsdata.
Filen sdk.js är en offentlig JavaScript-resurs som kan cachas. Mätanropen pv.js och mcs.js serveras av Nonlis applikation med privata cachehuvuden och CDN-huvuden med no-store, och Cloudflare-konfigurationen utesluter dem från delad CDN-cachning. Cloudflare-skydd som kan skapa en webbläsarutmaning eller en cookie för botkontroll är undantagna från SDK-rutterna sdk.js, pv.js och mcs.js. De kan vara fortsatt aktiva i andra tekniska flöden, bland annat för att skydda korta domäner, utan att användas för SDK:s publikmätning.
6. Mål 3 - Ingen spårning över flera domäner#
Nonli SDK är utformat utan cookies och utan besöksidentifierare:
- ingen cookie sätts;
- ingen cookie på webbplatsen läses;
- ingen identifierare för flera domäner skapas;
- inga CRM-, DMP-, CDP- eller reklamdata importeras;
- ingen fingerprinting utförs;
- ingen enskild session rekonstrueras.
SDK distribueras på en underdomän till kundens huvuddomän. Mätningen för ett varumärke eller en domän konsolideras aldrig med ett annat varumärke eller en annan kund.
6.1. IP-adress och loggar#
SDK:s applikationsflöde läser inte besökarens IP-adress för publikmätning. Det utför ingen geolokalisering, ingen pseudonymisering av IP-adresser och ingen lagring av IP-adresser i SDK-räknarna.
I Nonlis produktionsmiljö är åtkomstloggning inaktiverad i den omvända proxyn för de domäner som serverar SDK. Tekniska transportdata kan ändå behandlas av infrastrukturleverantörer, bland annat Cloudflare för TLS, routning, säkerhet och cache, och av applikationsloggar i undantagsfall vid fel. Dessa tekniska behandlingar används inte för att ta fram publikräknare och ska regleras av tillämpliga personuppgiftsbiträdesavtal, lagringstider och säkerhetsåtgärder.
6.2. HTTP-referrer#
HTTP-referrern kan användas tillfälligt för att verifiera att anropet kommer från samma underdomän som den angivna kanoniska URL:en. Kontrollen begränsar missbruk och matar inte publikräknarna.
7. Mål 4 - Anonyma statistiska uppgifter#
De rapporter som Nonli tar fram från SDK innehåller endast anonym och aggregerad statistik:
- antal visningar;
- visningar av innehåll som finns eller inte finns i lager;
- redaktionella numeriska mätvärden som utgivaren överför;
- aggregeringar per innehåll, varumärke eller domän.
Ingen användaridentifierare, webbläsaridentifierare, cookie, IP-adress eller teknisk fingeravtryckning lagras tillsammans med dessa räknare. De filter som finns i Nonlis gränssnitt kan därför inte avgränsa en enskild person eller rekonstruera dennes resa.
Nonli SDK erbjuder ingen sessionsuppspelning, ingen skärminspelning, inga individuella värmekartor och ingen namngiven beteendespårning.
8. Mål 5 - Rätt att invända#
CNIL anger att en mekanism för att invända ska införas i den mån personuppgiftsbehandling i den mening som avses i GDPR förekommer.
Nonli SDK behandlar inga personuppgifter i sitt publikmätningsflöde:
- ingen cookie;
- ingen användning av IP-adressen för publikräknare;
- ingen fingerprinting;
- ingen besöksidentifierare;
- ingen konsolidering över flera domäner;
- räknare aggregerade per innehåll och per kund.
Därför krävs ingen särskild mekanism för att invända mot SDK-mätningen. En användare som ändå inte vill bli räknad kan blockera SDK-domänen via sin webbläsare, sitt nätverk eller en skriptblockerare.
9. Driftkonfiguration#
För att hålla sig inom den omfattning som beskrivs i denna självutvärdering måste utgivaren använda Nonli SDK i dess standardkonfiguration:
- distribution på den underdomän som är avsedd för utgivarens varumärke;
- ingen ändring av taggen i syfte att lägga till identifierare eller personuppgifter;
- information till användarna i utgivarens integritetspolicy eller cookiepolicy;
- ingen kombination med andra behandlingar för att identifiera besökare.
Installationsvillkoren beskrivs i SDK:s FAQ: Nonli SDK (analystagg) - Frågor och svar.