מדריך אינטגרציית הסכמת עוגיות לחוויה הדיגיטלית ולהקלטת חזרת הפעלה של FullStory: ספר משחק 2026
FullStory היא הפלטפורמה הדומיננטית בקטגוריית ניתוח חוויה דיגיטלית מסיבה אחת: היא לוכדת הכל כברירת מחדל. בעוד שכלי ניתוח מסורתיים מקליטים אירועים נפרדים שהמפתח מכשיר, ופלטפורמות ניתוח מוצר מקליטות אינטראקציות בתוספת תוסף שנלכד אוטומטית, FullStory לוכדת את ה-DOM המוצג במלואו, את מסלול הסמן, את תזמון הקשות המקלדת, את התנהגות הגלילה, את לחיצות הכעס, את הלחיצות המתות, את בקשות הרשת ואת שגיאות JavaScript — וסורגת אותם להקלטות הפעלה שהאנליסט יכול לגלול דרכן פריים אחר פריים. כיסוי זה הוא המוצר. זו גם הסיבה שבגללה FullStory נמצאת בצומת של כללי ההסכמה הקפדניים ביותר בכל משטר פרטיות מודרני. הנחיות EDPB לחזרת הפעלה משנת 2023 ועדיפויות כוח המשימה של 2026 מתייחסות לחזרת הפעלה כקטגוריית הסכמה נפרדת ומחמירה יותר. CNIL הייתה הרגולטור הפומבי ביותר בנושא אך אינה לבדה — Garante, ICO, AEPD הספרדית ו-AP ההולנדית כולן פרסמו עמדות מתואמות. פריסת FullStory שהוגדרה ללכידה שבה הסכמה קודמת לכל, עם מיסוך נכון, שערוּת נכונה ומסלול ביקורת נכון, היא אחד הכלים החזקים ביותר שמפרסם יכול להפעיל; זו שלא הוגדרה כך היא אחד היעדים הקלים ביותר שרגולטור ימצא.
מדוע FullStory נמצאת בקטגוריית ההסכמה המחמירה ביותר
אתחול FullStory ברירת מחדל עושה את כל מה שכל כלי חזרת הפעלה עושה ויותר. הוא מגדיר עוגיות של צד ראשון תחת מרחב השמות fs_uid ו-fs_lua המכילות את מזהה המבקר הקבוע ואת חותמת הזמן של הפעילות האחרונה, מייצר מזהה הפעלה תחת fs_session, ומתחיל לשדר את ה-DOM המוצג אל rs.fullstory.com תוך מילי שניות מטעינת הדף. הזרם כולל כל אירוע קלט, כל תנועת עכבר, כל מיקום גלילה, כל מעבר עמוד, וכשמודול לכידת הרשת מופעל — כל תגובת XHR ו-fetch שהדף מייצא, כולל גוף התגובה אלא אם כן המפעיל הגדיר דיכוי.
כל אחת מהלכידות הללו מפעילה שער הסכמה נפרד. הקבעת מזהה המבקר היא פעולת אחסון ועיון לפי סעיף 5(3) של הנחיית ePrivacy הדורשת הסכמה מוקדמת, ניתנת בחופשיות, ספציפית, מושכלת וחד-משמעית בכל רחבי ה-EEA, בריטניה וכל שיפוט שאימץ את אותו סטנדרט. הקלטת ה-DOM המוצג היא עיבוד נתונים אישיים לפי GDPR מכיוון שהרשומה החזותית מספיקה לזיהוי המשתמש וחשיפת תוכן מהותי עליו. לכידת זרם הקשות המקלדת היא רגישות מיוחדת: כל מה שהמשתמש מקיש בשדה טופס נלכד פריים אחר פריים, ואם השדה אינו ממוסך, ההקלטה כוללת את התוכן שהוקלד. EDPB הייתה מפורשת לגבי כך שלכידת חזרת הפעלה היא קטגוריה הדורשת הסכמה מפורשת ומפורטת הנבדלת מהסכמת אנליטיקס גנרית — ושהמיסוך הוא תוספת להסכמה, לא תחליף לה.
מה FullStory כותבת לפני הסכמה — ומה יש לדכא
התחלה מהירה סטנדרטית של FullStory מתקינה את קטע המעקב ישירות ב-<head> של הדף. זה עובד כמתועד והוא מקור הכשל הנפוץ ביותר של עמידה בתקנות: הקטע פועל לפני שבאנר העוגיות הוצג, עוגיות fs_uid ו-fs_session נכתבות תוך מילי שניות, וזרם חזרת ההפעלה מתחיל לזרום אל rs.fullstory.com ללא קשר למה שהמשתמש יחליט לאחר מכן. כל רגולטור אירופי שפסק בנוגע לתבנית זו פסק באותו האופן: עוגיות שהוגדרו לפני הסכמה הן בלתי חוקיות, ההקלטה שנלכדה לפני הסכמה היא עיבוד בלתי חוקי, והמפרסם נושא באחריות.
אינטגרציה תואמת חייבת לכן למנוע אתחול קטע FullStory עד שקטגוריית ההסכמה הרלוונטית תינתן. התבנית הפועלת בייצור היא API FS.consent() בשילוב עם הקלטה דחויה: הקטע נטען עם FullStory({ orgId: 'XXX', recordOnlyThisIFrame: false }) ו-FS.shutdown() נקרא מיד, ואז FS.restart() ו-FS.consent(true) נקראים רק לאחר שה-CMP מסמן שקטגוריית חזרת ההפעלה ניתנה. התבנית החלופית היא הזרקת סקריפט מותנית — קטע FullStory מתווסף ל-DOM רק לאחר מתן הסכמה — שהיא נקייה יותר אך מחייבת את המפעיל לאבד כל תפירת זהות לפני הסכמה ש-FullStory אחרת היה מספק.
העוגיות והאחסון שFullStory כותבת
קטע FullStory כותב את המזהים הבאים באתחול, כולם לא חיוניים ודורשים הסכמה: fs_uid עם תפוגה רב-שנתית המכיל את מזהה המבקר הקבוע, fs_lua עם חותמת הזמן של פעילות המשתמש האחרונה, fs_session עם מזהה ההפעלה, וסמני מצב ההקלטה שבהם FullStory משתמשת פנימית. לכן משיכת הסכמה חייבת הן לפוג את העוגיות הללו והן לקרוא ל-FS.consent(false) ואחריו FS.shutdown() כדי לעצור לכידה נוספת, והמפרסם חייב לשלוח בקשת מחיקה דרך נקודת הקצה של פרטיות FullStory עבור ההקלטות הקודמות של המשתמש.
מיפוי FullStory למסגרות הסכמה
FullStory אינה מיישמת IAB TCF או את IAB Global Privacy Platform באופן מקורי — היא פלטפורמת חוויה דיגיטלית של צד ראשון, לא ספק טכנולוגיית פרסום. היא חושפת API הסכמה מקורי ותומכת במודל מיסוך פרטי-כברירת-מחדל הפועל ללא קשר למצב ההסכמה. התבנית שעומדת בסקירת רגולטור מתייחסת לכל מודול FullStory כשער נפרד הקשור לאות CMP ספציפי.
- חזרת הפעלה וזרם ה-DOM המלא קשורים לקטגוריית חזרת הפעלה או מחקר ייעודית הנבדלת מאנליטיקס גנרי. הנחיות EDPB מפורשות בנקודה זו — הסכמת חזרה חייבת להיות נפרדת ומפורטת, לא מחוברת עם אנליטיקס או שיווק.
- לכידת רשת נמצאת מאחורי שער-משנה מחמיר יותר באותה קטגוריה מכיוון שהיא לוכדת גוף תגובות HTTP שעלולות להכיל נתונים אישיים שאינם קשורים לממשק הנראה. לכידת רשת צריכה להיות כבויה כברירת מחדל ולהיות מופעלת רק עבור נתיבי יישום ספציפיים שבהם המפעיל אישר שגוף התגובות אינו כולל נתונים רגישים.
- תפירת זהות דרך FS.identify() יכולה לפעול עם מזהה הפעלה חולף על בסיס אינטרס לגיטימי כשהמשתמש אנונימי, אך תפירת הזיהוי למזהה קבוע של צד ראשון בין הפעלות דורשת את אותה הסכמה כמו חזרת הפעלה.
- מפות חום וניתוח המרות שנגזרים מזרם חזרת ההפעלה יורשים את השער מהזרם הקודם — הם אינם משטחי הסכמה נפרדים, הם מוצרים במורד הזרם של אותם נתונים שנלכדו.
תבנית האינטגרציה שעובדת
לפריסת הייחוס יש ארבעה חלקים: CMP שחושפת אירוע שינוי הסכמה בזמן אמת, בוטסטרפ דחוי שמאתחל FullStory עם לכידה מדוכאת דרך FS.shutdown(), מאזין הסכמה שקורא ל-FS.consent(true) ו-FS.restart() כשנפתח שער חזרת ההפעלה, ותצורת מיסוך פרטית כברירת מחדל הדוחסת בכוח כל שדה קלט אלא אם כן הוחלט במפורש אחרת.
מיסוך פרטי כברירת מחדל
שכבת המיסוך של FullStory פועלת באופן עצמאי מהסכמה ויש להגדירה באגרסיביות גם כשניתנה הסכמה. מחלקת CSS fs-mask על כל אלמנט מדכאת את תוכן האלמנט מהקלטה; מחלקת CSS fs-exclude מוציאה את האלמנט לגמרי מזרם ה-DOM; מחלקת fs-block חוסמת הן תוכן והן מבנה. לפי כללי הקטגוריה המיוחדת של GDPR והגדרת מידע אישי רגיש של CCPA, כל שדה שעלול ללכוד מידע בריאותי, פרטים פיננסיים, מזהים ממשלתיים, נתונים ביומטריים, מיקום גיאוגרפי מדויק או תוכן תקשורת פרטית חייב להשתמש במאפייני המיסוך ללא קשר למצב ההסכמה של המשתמש. העמדה המומלצת היא להחיל fs-mask ברמת הטופס ולא ברמת השדה — מפתח המוסיף שדה חדש לטופס קיים נוטה הרבה פחות לזכור למסך אותו בנפרד מאשר כשהוא פועל בתוך עטיפת מיסוך ברמת טופס שלוכדת אותו אוטומטית.
בחירת אזור ומגורי נתונים
FullStory מפעילה נקודות קצה נפרדות לצריכה בארה"ב ובאיחוד האירופי. עבור תעבורת EEA ובריטניה, נקודת הקצה של האיחוד האירופי היא ברירת המחדל הנכונה — היא שומרת על הצריכה, העיבוד והאחסון בתוך ה-EEA ומצמצמת את חשיפת Schrems II שכל פריסת חזרת הפעלה באזור ארה"ב תישא. נקודת הקצה מוגדרת לפי ארגון FullStory ואינה ניתנת לשינוי רטרואקטיבי, לכן בחירת האזור חייבת להיעשות לפני הרחבה ולתעד בהודעת הפרטיות כדי שרשת הבסיס המשפטי תהיה נקייה מאיסוף ועד אחסון.
אימות האינטגרציה ומסלול הביקורת
שלב האימות הוא מה שרגולטורים בודקים ומה שמפרסמים מדלגים עליו לרוב בכלי חזרת הפעלה. פריסת FullStory המשולבת כראוי חייבת לעבור ארבעה מבחנים ברצף. ראשית, הפעלת דפדפן נקייה עם הבאנר מוצג אך ללא בחירה שנעשתה חייבת לייצר אפס בקשות אל rs.fullstory.com מעבר לאחזור קובץ ה-SDK ואפס עוגיות fs_ ב-document.cookie. שנית, דחיית הסכמת חזרת הפעלה חייבת לשמור על מצב זה — ללא לכידה, ללא מזהה, ללא הקלטה. שלישית, קבלת הסכמת חזרת הפעלה חייבת לייצר את עוגיית fs_uid הצפויה, אירוע FS.consent(true) יחיד, וזרם ה-DOM הזורם לנקודת הקצה האזורית המוגדרת, עם שדות ממוסכים המאושרים ללכידת מציין מקום המסיכה בלבד. רביעית, משיכת הסכמה חייבת לעצור לאלתר לכידה נוספת, לפוג את עוגיות fs_ ולהפעיל בקשת מחיקה דרך נקודת הקצה של פרטיות FullStory עבור ההקלטות הקודמות של המשתמש.
ציפיית מסלול הביקורת היא המקום שבו כלי חזרת הפעלה עומדים בפני הביקורת המחמירה ביותר. הנחיות באנר העוגיות של EDPB משנת 2023 ועדיפויות כוח המשימה המחודשות של 2026 מפורשות לגבי כך שהמפרסם חייב להיות מסוגל להוכיח, עבור כל הקלטת הפעלה ספציפית בפרויקט FullStory, שהמשתמש שייצר אותה נתן הסכמה תקפה לחזרת הפעלה ברגע הלכידה. התבנית הסטנדרטית היא הגדרת גרסת ההסכמה וחותמת הזמן כמשתני משתמש על מזהה FullStory דרך FS.setUserVars({ consent_version: 'v3', consent_ts: ts }) כדי שכל הקלטה בודדת תהיה ניתנת למעקב חזרה לרשומת יומן הסכמה ספציפית. פריסה שהוגדרה כראוי, בשילוב עם מאפייני מיסוך הפרטיים כברירת מחדל ומסלול מחיקה המופעל עם המשיכה, הופכת את הכיסוי של FullStory מסיכון ריכוז רגולטורי לחלק בר-הגנה בסטק החוויה הדיגיטלית של המפרסם.