لماذا تستلزم Amplitude الموافقة

يفعل Browser SDK الافتراضي لـ Amplitude وحزم SDK المحمولة أكثر بكثير من مجرد تسجيل مشاهدات الصفحات. عند التهيئة يضبطان معرف الجهاز في التخزين من الطرف الأول، ويولدان معرف الجلسة، ويلتقطان المرجع، ويحللان معرفات UTM والنقرات من URL، ويبدآن في وضع الأحداث الملتقطة تلقائياً في قائمة الانتظار: مشاهدات الصفحات ونقرات العناصر وتفاعلات النماذج وتنزيلات الملفات، وفي الإصدارات الأحدث تسجيلات الجلسات. كما ستثري تلك الأحداث بالموقع الجغرافي المستمد من عنوان IP وبيانات الجهاز المستمدة من وكيل المستخدم، وإذا كان مهيأ كذلك، بإثراء من الأطراف الثالثة عبر شركاء البيانات.

تستدعي كل خطوة من تلك الخطوات أساساً قانونياً مختلفاً للموافقة. تخزين معرف الجهاز هو عملية تخزين ووصول بموجب المادة 5(3) من توجيه ePrivacy، التي تستلزم موافقة مسبقة وحرة وخاصة ومستنيرة وواضحة في المنطقة الاقتصادية الأوروبية والمملكة المتحدة وأي ولاية قضائية استوردت المعيار ذاته. التقاط الأحداث السلوكية المرتبطة بذلك المعرف هو معالجة للبيانات الشخصية بموجب GDPR. الإثراء ببيانات الطرف الثالث يُدخل علاقة تحكم ثانية. يصنف CCPA وCPRA المعالجة ذاتها على أنها بيع أو مشاركة ما لم يكن الناشر يمتلك عقد مزود خدمة محدد النطاق مع Amplitude، وهو متاح، لكن فقط إذا كان التكامل مهيأ لتعطيل ميزات الإعلانات.

ما تجمعه Amplitude قبل الموافقة وما يجب قمعه

أكثر أخطاء التنفيذ شيوعاً هو معاملة Amplitude كأداة تحليلات خفيفة يمكن تشغيلها بجانب لافتة ملفات تعريف الارتباط. لا يمكن ذلك. في استدعاء amplitude.init() الافتراضي، ستكتب حزمة SDK خلال الرسم الأول للصفحة إدخالاً واحداً على الأقل في ملف تعريف الارتباط أو التخزين المحلي، وترسل استدعاء تعريف، وتبدأ في تخزين الأحداث مؤقتاً. لا شيء من ذلك مسموح به قبل أن يوافق المستخدم موافقة صريحة على فئة الموافقة ذات الصلة.

لذا يجب أن يؤخر التكامل المتوافق amplitude.init() حتى تشير CMP إلى منح فئة موافقة التحليلات. يجب ألا تُحمَّل حزمة SDK على الإطلاق من وسم <script> مشروط بالموافقة يعتمد على إشارة الغرض 8 (التحليلات) أو الغرض 1 (التخزين والوصول) التي تكشفها CMP. إذا كان لا بد من تحميل حزمة SDK مبكراً، فيجب أن يُمرر استدعاء التهيئة defaultTracking: false وoptOut: true بحيث لا تُصدر أحداث حتى تُسجَّل الموافقة، ثم يُقلّب حدث الاشتراك المؤجل تلك العلامات.

ملفات تعريف الارتباط والتخزين الذي تكتبه Amplitude

تكتب Browser SDK 2.x ملف تعريف ارتباط من الطرف الأول واحداً باسم AMP_{apiKey} افتراضياً، بانتهاء صلاحية مدتها سنة، يحتوي على معرف الجهاز وبيانات الجلسة. كانت الإصدارات الأقدم تكتب أيضاً amplitude_id_{apiKey}. تُبقي حزم SDK المحمولة المعرف ذاته في التخزين المُقيَّد بالتطبيق. يُضيف تسجيل الجلسة ملف تعريف ارتباط ثانياً، AMP_MKTG_{apiKey}، وقد يضع شركاء الإثراء في Amplitude ملفات تعريف ارتباط إضافية من أطراف ثالثة إذا كانت وحدات الاستهداف التجريبي أو الجماهير مُفعَّلة. جميعها غير أساسية وتستلزم الموافقة.

ربط Amplitude بأطر الموافقة

لا تُطبق Amplitude بشكل أصلي Google Consent Mode v2 ولا IAB TCF ولا IAB Global Privacy Platform. هذا ليس عيباً، فـ Amplitude منصة تحليلات من الطرف الأول وليست بائعاً لتقنية الإعلانات، لكنه يعني أن مسؤولية التكامل تقع على الناشر. النمط الذي ينجح عملياً هو معاملة كل وحدة من وحدات Amplitude كبوابة موافقة منفصلة وربطها بإشارة محددة تعرضها CMP بالفعل.

• أحداث التحليلات الأساسية مرتبطة بغرض التحليلات. في مصطلحات TCF هذا في الغالب الغرض 8 (قياس أداء المحتوى) مع الغرض 1 (تخزين المعلومات والوصول إليها). لـ Google Consent Mode يتطابق هذا مع analytics_storage.
• تسجيل الجلسة يجب أن يكون خلف إشارة أكثر صرامة. يلتقط التسجيل DOM المُصيَّر بما يشمل قيم النماذج ما لم تُخفَ صراحة، لذا فإن الاشتراك الانتخابي المنفصل لـ preferences أو functional مناسب، ويجب أن يكون التسجيل معطلاً افتراضياً حتى عند منح التحليلات.
• الجماهير والمجموعات والإثراء من الأطراف الثالثة مرتبطة بغرض التسويق. في مصطلحات TCF هذا الغرض 7 (قياس أداء الإعلانات) أو الغرض 9 (تطبيق أبحاث السوق). لـ Google Consent Mode يتطابق هذا مع ad_storage وad_user_data.
• التجريب يمكن لـ Amplitude Experiment العمل بتخصيص مجهول ومؤقت في إطار أساس المصلحة المشروعة، لكن التخصيص المستمر المرتبط بمعرف مستخدم يستلزم الموافقة ذاتها كالتحليلات الأساسية.

نمط التكامل الناجح

يتألف التطبيق المرجعي الذي ينجو من مراجعة جهة التنظيم من أربعة أجزاء متحركة: CMP تكشف حدثاً في الوقت الفعلي عند تغيير المستخدم للموافقة، ومحمل SDK مؤجل يجلب Amplitude فقط بعد إطلاق ذلك الحدث للفئة ذات الصلة، وحارس على مستوى الجلسة يحترم إلغاء الاشتراك دون فقدان معرف الجهاز المجهول السابق للمستخدم حيثما يجيز القانون ذلك، وجسر جانب الخادم للأحداث التي تستلزم فعلاً التجميع بصرف النظر عن الموافقة، كقياسات الأمان أو اكتشاف الاحتيال، يُوجَّه عبر نقطة نهاية منفصلة بأساسها القانوني الخاص.

التنفيذ على الويب

على الويب، أنظف نمط هو كشف حالة موافقة CMP عبر كائن window.__cmp_consent أو استدعاء __tcfapi القياسي، ثم امتلاك نص برمجي تمهيدي صغير يشترك في تغييرات الموافقة. عندما تتحول موافقة التحليلات من false إلى true، يجلب النص التمهيدي حزمة Amplitude SDK من CDN المُدارة بواسطة CMP، ويستدعي amplitude.init(apiKey, undefined, { defaultTracking: true })، ويعيد تشغيل أي أحداث كانت في قائمة انتظار الذاكرة أثناء انتظار الموافقة. عندما تعود الموافقة إلى false، يستدعي النص التمهيدي amplitude.setOptOut(true)، ويمسح ملف تعريف الارتباط AMP_ عبر انتهاء صلاحية document.cookie، ويزيل أي حالة في الذاكرة. والأهم أن النص التمهيدي يجب ألا يُهيئ Amplitude كسولاً في تدفق الطلب نفسه كعرض اللافتة، إذ يجب على حزمة SDK الانتظار للحصول على منح صريح.

التنفيذ على الجوال

على iOS المكافئ هو إبقاء إطار Amplitude مستورداً لكن تأجيل Amplitude.instance().initialize(apiKey: apiKey) حتى تعيد تدفق الموافقة داخل التطبيق إشارة تحليلات إيجابية. مطالبة ATT مخاوف منفصلة: تحكم ATT في IDFA، بينما معرف Amplitude هو UUID الخاص بحزمة SDK المخزن في صندوق رمال التطبيق. كلاهما يستلزم الموافقة في المنطقة الاقتصادية الأوروبية، لكن الأسس القانونية والمطالبات متمايزة. على Android ينطبق المنطق ذاته مع Amplitude.getInstance().initializeApolloClient() أو ما يعادله حسب إصدار حزمة SDK.

وضع جانب الخادم

تدعم Amplitude الاستيعاب من جانب الخادم عبر HTTP V2 API. الأحداث من جانب الخادم ليست مستثناة من الموافقة، إذ يتبع الأساس القانوني البيانات لا وسيلة النقل، لكن الاستيعاب من جانب الخادم يمنح الناشر تحكماً كاملاً في الحقول المرسلة، مما يسهل احترام الموافقة الجزئية. نمط شائع هو التقاط مجموعة حد أدنى من الأحداث الأساسية فقط من جانب الخادم بموجب المصلحة المشروعة، وإثراء تلك الأحداث بتفاصيل سلوكية فقط بعد أن يمنح المستخدم موافقة التحليلات على العميل.

التحقق من صحة التكامل

خطوة التحقق هي الخطوة التي يتخطاها الناشرون في أغلب الأحيان وتفحصها جهات التنظيم في أغلب الأحيان. يجب أن يجتاز نشر Amplitude المتكامل بشكل صحيح أربعة فحوصات. أولاً، يجب ألا ينتج متصفح يعرض لافتة الموافقة دون أن يجري أي اختيار أي طلبات إلى api.amplitude.com أو api.eu.amplitude.com وأي ملفات تعريف ارتباط AMP_ في document.cookie. ثانياً، رفض فئة التحليلات يجب أن يُبقي تلك الحالة، لا أحداث ولا ملفات تعريف ارتباط ولا إدخالات تخزين محلي بادئة بـ AMP_. ثالثاً، قبول التحليلات يجب أن ينتج identify واحداً يتبعه حركة أحداث، ويجب أن يظهر ملف تعريف الارتباط AMP_ بخاصية SameSite متسقة مع سياسة CMP الخاصة بالناشر. رابعاً، سحب الموافقة لاحقاً يجب أن يوقف فوراً الأحداث الإضافية ويمسح المعرفات المخزنة، فالتنظيف المتأخر هو مخالفة.

سجل التدقيق مهم بشكل منفصل. بموجب إرشادات لافتات ملفات تعريف الارتباط الصادرة عن EDPB لعام 2023 وأولويات فرقة العمل المتجددة لعام 2026، تتوقع جهات التنظيم أن يتمكن الناشر من إثبات لأي حدث معين في مشروع Amplitude أن المستخدم الذي ولّده كان قد أعطى موافقة صالحة في لحظة الالتقاط. يتطلب ذلك إمكانية الاستعلام في سجل موافقة CMP بواسطة معرف الجهاز أو معرف الجلسة، وأن يحمل حمولة حدث Amplitude حقل إصدار الموافقة الذي يرتبط بذلك السجل. تخزين سلسلة الموافقة كخاصية مستخدم مخصصة في كل حدث هو أبسط طريقة لجعل ذلك الرابط قابلاً للتدقيق.

اختيار المنطقة وإقامة البيانات الصحيحين

تُشغّل Amplitude منطقتي إنتاج: الولايات المتحدة (api.amplitude.com) والاتحاد الأوروبي (api.eu.amplitude.com). لحركة المنطقة الاقتصادية الأوروبية والمملكة المتحدة المنطقة الأوروبية هي الافتراضية الصحيحة، إذ تُبقي البيانات داخل المنطقة الاقتصادية الأوروبية وتُقلص سطح مخاطر النقل الذي جعله قرار Schrems II وإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة محورياً في أي مراجعة تحليلات. تغيير المنطقة ليس بأثر رجعي: تبقى البيانات الموجودة حيث استُقبلت أول مرة. لذا يستحق الناشرون الذين يخططون لطرح CMP تأكيد المنطقة قبل التوسع، وتوثيق الاختيار في إشعار الخصوصية حتى تكون سلسلة الأساس القانوني نظيفة من جمع البيانات إلى تخزينها. المنطقة المختارة بشكل صحيح، مقترنة بحزمة SDK مُبوَّبة بشكل صحيح وسجل موافقة قابل للاستعلام، هي ما يحول نشر Amplitude من مخاطرة تنظيمية إلى جزء قابل للدفاع عنه من مجموعة التحليلات.