Miksi Amplitude vaatii suostumuksen

Oletusarvoinen Amplitude Browser SDK ja Amplitude-mobiili-SDK:t tekevät paljon enemmän kuin vain kirjata sivunäyttöjä. Alustuksessa ne asettavat laitetunnisteen ensimmäisen osapuolen tallennustilaan, luovat istuntotunnisteen, tallentavat viittaajan, jäsentävät UTM- ja klikkitunnisteet URL-osoitteesta sekä alkavat jonottaa automaattisesti tallennettuja tapahtumia: sivunäyttöjä, elementtien klikkauksia, lomakkeen vuorovaikutuksia, tiedostolatauksia ja — uusimmissa julkaisuissa — istunnon toistoja. Ne myös rikastavat näitä tapahtumia IP-johdetulla geosijannilla, user-agent-johdetuilla laitetiedoilla ja, jos konfiguroitu, datayhteistyökumppaneiden kolmannen osapuolen rikastamisella.

Jokainen näistä vaiheista sisältää erillisen suostumuksen oikeusperusteen. Laitetunnisteen tallentaminen on tallennus- ja käyttöoperaatio ePrivacy-direktiivin 5(3) artiklan mukaan, joka edellyttää ennakkosuostumusta, vapaaehtoisesti annettua, erityistä, tietoista ja yksiselitteistä suostumusta Euroopan talousalueella, Yhdistyneessä kuningaskunnassa ja missä tahansa lainkäyttöalueella, joka on tuonut saman standardin. Kyseiseen tunnisteeseen kytkeytyvien käyttäytymistapahtumainen tallentaminen on henkilötietojen käsittelyä GDPR:n nojalla. Kolmannen osapuolen tiedoilla rikastaminen tuo mukanaan toisen rekisterinpitäjäsuhteen. CCPA ja CPRA luokittelevat saman käsittelyn myynniksi tai jakamiseksi, ellei kustantajalla ole asianmukaisesti rajattua palveluntarjoajasopimusta Amplituden kanssa — joka on saatavilla, mutta vain jos integraatio on konfiguroitu poistamaan mainosominaisuudet käytöstä.

Mitä Amplitude kerää ennen suostumusta — ja mitä sinun täytyy estää

Yleisin toteutusvirhe on kohdella Amplitudea kevyenä analytiikkatyökaluna, joka voi toimia evästebannerin rinnalla. Se ei voi. Oletusarvoisella amplitude.init()-kutsulla SDK kirjoittaa sivun ensimmäisen renderöinnin aikana vähintään yhden evästeen tai paikallisen tallennustilan merkinnän, lähettää identify-kutsun ja alkaa puskuroida tapahtumia. Mikään näistä ei ole sallittua ennen kuin käyttäjä on nimenomaisesti hyväksynyt asiaankuuluvan suostumuskategorian.

Yhteensopivan integraation täytyy siksi viivyttää amplitude.init() kunnes CMP on ilmoittanut, että analytiikan suostumuskategoria on myönnetty. SDK:ta ei tulisi ladata ollenkaan suostumuksella portatusta <script>-tagista, joka riippuu CMP:n tarkoituksen 8 (analytiikka) tai tarkoituksen 1 (tallennus ja käyttö) signaalista, riippuen siitä, minkä kehyksen CMP paljastaa. Jos SDK:n on ladattava aikaisemmin — esimerkiksi koska se on niputettu sovelluskoodiin eikä sitä voi laiskasti noutaa — alustuskutsussa on välitettävä defaultTracking: false ja optOut: true, jotta yhtään tapahtumaa ei lähetetä ennen kuin suostumus on kirjattu, ja sitten viivästetyn opt-in-tapahtuman tulisi vaihtaa nämä liput.

Evästeet ja tallennustila, jota Amplitude kirjoittaa

Browser SDK 2.x kirjoittaa oletuksena yhden ensimmäisen osapuolen evästeen nimeltä AMP_{apiKey} yhden vuoden voimassaoloajalla, joka sisältää laitetunnisteen ja istunnon metatiedot. Vanhemmat versiot kirjoittivat myös amplitude_id_{apiKey}. Mobiili-SDK:t tallentavat saman tunnisteen sovelluksen sandbox-tallennustilan sisälle. Istunnon toisto lisää toisen evästeen, AMP_MKTG_{apiKey}, ja Amplituden rikastumiskumppanit voivat asettaa lisää kolmannen osapuolen evästeitä, jos kokeilukohdistus- tai yleisömoduulit ovat käytössä. Kaikki nämä ovat ei-välttämättömiä ja vaativat suostumuksen.

Amplituden kartoittaminen suostumuskehyksiin

Amplitude ei natiivisti toteuta Google Consent Mode v2:ta, IAB TCF:ää tai IAB Global Privacy Platform -alustaa. Se ei ole vika — Amplitude on ensimmäisen osapuolen analytiikka-alusta, ei mainosteknologian myyjä — mutta se tarkoittaa, että integrointivastuu on kustantajalla. Käytännössä toimiva malli on kohdella jokaista Amplitude-moduulia erillisenä suostumuksen portina ja sitoa se tiettyyn CMP:n jo paljastamaana signaaliin.

• Ydinanalytiikkatapahtumat sidotaan analytiikan tarkoitukseen. TCF-termeissä tämä on useimmiten tarkoitus 8 (sisällön suorituskyvyn mittaaminen) yhdistettynä tarkoitukseen 1 (tietojen tallennus ja/tai käyttö). Google Consent Modessa tämä kartoittuu analytics_storage-kohtaan.
• Istunnon toiston tulee sijaita tiukemman signaalin takana. Toisto tallentaa renderöidyn DOM:in, mukaan lukien lomakearvot, ellei niitä ole nimenomaisesti peitetty, joten erillinen preferences- tai functional-opt-in on asianmukainen, ja toiston tulisi olla oletuksena pois käytöstä myös silloin, kun analytiikka on myönnetty.
• Yleisöt, kohortit ja kolmannen osapuolen rikastaminen sidotaan markkinoinnin tarkoitukseen. TCF-termeissä tämä on tarkoitus 7 (mainosten suorituskyvyn mittaaminen) tai tarkoitus 9 (markkinatutkimuksen soveltaminen). Google Consent Modessa tämä kartoittuu ad_storage- ja ad_user_data-kohtiin.
• Kokeilu — Amplitude Experiment voi toimia anonyymillä, hetkellisellä allokaatiolla oikeutetun edun perusteella, mutta pysyvä allokaatio, joka on sidottu käyttäjätunnisteeseen, vaatii saman suostumuksen kuin ydinanalytiikka.

Toimiva integraatiomalli

Sääntelyviranomaisen tarkastelun läpäisevällä viitetoteutuksella on neljä liikkuvaa osaa: CMP, joka paljastaa reaaliaikaisen tapahtuman kun käyttäjä muuttaa suostumusta, viivästetty SDK-lataaja, joka noutaa Amplituden vasta sen jälkeen kun tämä tapahtuma aktivoituu asiaankuuluvalle kategorialle, istuntotason vartija, joka kunnioittaa opt-outia menettämättä käyttäjän aiempaa anonymisoitua laitetunnistetta siellä missä laki sen sallii, ja palvelinpuolen silta tapahtumille, jotka todella vaativat keräämisen suostumuksesta riippumatta — kuten tietoturva-telemetria tai petostentunnistus — reititettynä erillisen päätepisteen kautta omalla oikeusperustallaan.

Web-toteutus

Verkkosivustolla puhtain malli on paljastaa CMP:n suostumustila window.__cmp_consent-objektin tai standardin __tcfapi-takaisinsoiton kautta, sitten pienenä bootstrap-skriptinä tilata suostumuksen muutokset. Kun analytiikan suostumus vaihtuu epätodesta todeksi, bootstrap noutaa Amplitude SDK:n CMP:n hallitsemasta CDN:stä, kutsuu amplitude.init(apiKey, undefined, { defaultTracking: true }) ja toistaa muistiin jonottaneet tapahtumat suostumuksen odottamisen aikana. Kun suostumus vaihtuu takaisin epätodeksi, bootstrap kutsuu amplitude.setOptOut(true), tyhjentää AMP_-evästeen document.cookie-vanhentumisen kautta ja poistaa kaikki muistissa olevan tilan. Kriittisesti, bootstrap ei saa koskaan laiskasti alustaa Amplitudea samassa pyyntövirrassa kuin bannerin renderöinti — SDK:n on odotettava nimenomaista myöntämistä.

Mobiilitoteutus

iOS:ssä vastaava toimenpide on pitää Amplitude-kehys tuotuna, mutta lykätä Amplitude.instance().initialize(apiKey: apiKey) kunnes sovelluksen sisäinen suostumusvuo on palauttanut positiivisen analytiikkasiñaalin. ATT-kehote on erillinen asia: ATT hallinnoi IDFA:ta, kun taas Amplituden tunniste on SDK:n oma UUID, joka on tallennettu sovelluksen sandboxiin. Molemmat vaativat suostumuksen EEA:ssa, mutta oikeusperusteet ja kehotteet ovat erilliset. Androidissa sama logiikka soveltuu Amplitude.getInstance().initializeApolloClient():lla tai vastaavalla SDK-versiosta riippuen.

Palvelinpuolen tila

Amplitude tukee palvelinpuolen syöttöä HTTP V2 API:n kautta. Palvelinpuolen tapahtumat eivät ole suostumuksesta vapautettuja — oikeusperusta seuraa dataa, ei kuljetusta — mutta palvelinpuolen syöttö antaa kustantajalle täyden kontrollin siitä, mitkä kentät lähetetään, mikä helpottaa osittaisen suostumuksen noudattamista. Yleinen malli on tallentaa minimaalinen, vain välttämätön tapahtumien joukko palvelinpuolelta oikeutetun edun nojalla, ja rikastaa nämä tapahtumat käyttäytymisyksityiskohdilla vasta sen jälkeen kun käyttäjä on myöntänyt analytiikan suostumuksen asiakaspuolella.

Integraation validointi

Validointivaihe on se, jonka kustantajat useimmiten ohittavat ja sääntelyviranomaiset useimmiten tarkistavat. Oikein integroitu Amplitude-käyttöönotto tulee läpäistä neljä tarkistusta. Ensinnäkin, selaimen, jossa on suostumusbanneri näkyvissä mutta valin tekemättä, tulee tuottaa nolla pyyntöä api.amplitude.com- tai api.eu.amplitude.com-osoitteeseen ja nolla AMP_-evästettä document.cookie:ssa. Toiseksi, analytiikkakategorian hylkäämisen tulee säilyttää tämä tila — ei tapahtumia, ei evästeitä, ei paikallisen tallennustilan merkintöjä AMP_-etuliitteellä. Kolmanneksi, analytiikan hyväksymisen tulee tuottaa yksi identify ja sen jälkeen tapahtumavirta, ja AMP_-evästeen tulee esiintyä SameSite-attribuutilla, joka on yhdenmukainen kustantajan CMP-käytännön kanssa. Neljänneksi, suostumuksen peruuttamisen tulee välittömästi pysäyttää lisätapahtumat ja tyhjentää tallennetut tunnisteet — viivästetty siivous on löydös.

Auditoinnin jäljityspolku on tärkeä erikseen. EDPB:n vuoden 2023 evästebannerin ohjeistusten ja uusittujen vuoden 2026 tehtäväryhmäprioriteettien mukaan sääntelyviranomaiset odottavat kustantajan pystyvän todistamaan, jokaiselle Amplitude-projektin tapahtumalle, että sen luonut käyttäjä oli antanut pätevän suostumuksen tallennettuhetkellä. Tämä vaatii, että CMP:n suostumusloki on kyselytettävissä laitetunnisteen tai istuntotunnisteen perusteella, ja että Amplitude-tapahtuman hyötykuorma kantaa suostumuksen versioläytöä, joka viittaa takaisin tähän lokiin. Suostumuksen merkkijonon tallentaminen mukautetuksi käyttäjäominaisuudeksi jokaiselle tapahtumalle on yksinkertaisin tapa tehdä tästä linkistä auditoitava.

Oikean alueen ja tietojen sijaintipaikan valitseminen

Amplitude operoi kahta tuotantoaluetta: Yhdysvallat (api.amplitude.com) ja EU (api.eu.amplitude.com). EEA:n ja Yhdistyneen kuningaskunnan liikenteelle EU-alue on oikea oletus — se pitää datan EEA:ssa ja vähentää siirron riskipintaa, jonka Schrems II -päätös ja EU-US Data Privacy Framework ovat nostaneet kaikkien analytiikka-arviointien keskeiseksi. Alueiden vaihtaminen ei ole taannehtivaa: olemassa oleva data pysyy siellä, missä se ensimmäisenä kerättiin. CMP-käyttöönottoa suunnitteleville kustantajille kannattaa siksi vahvistaa alue ennen skaalausta, ja dokumentoida valinta tietosuojailmoituksessa, jotta oikeusperustaketju on puhdas keräyksestä tallennukseen asti. Oikein valittu alue, parennettuna oikein portattuun SDK:hon ja kyselytettävään suostumuslokiin, on se, mikä muuttaa Amplitude-käyttöönoton sääntelyriskistä analytiikkapinon puolustettavaksi osaksi.