מה Mixpanel אוספת

ה-SDK של Mixpanel (נטען מ-cdn.mxpnl.com או מאוחסן עצמאית) מאתחל אובייקט גלובלי mixpanel ומזהה משתמשים עם עוגיית Mixpanel המכילה מזהה ייחודי שנוצר. מאותו רגע, כל קריאה ל-mixpanel.track() מדווחת על מטען אירוע — שם אירוע, מאפיינים, המזהה הייחודי, וקבוצה של מאפיינים שנלכדו אוטומטית (סוכן משתמש, מערכת הפעלה, מפנה, פרמטרי UTM, רזולוציית מסך, אזור זמן) — לנקודת קצה של קליטה של Mixpanel. ה-SDK גם תומך במצב Autocapture שצופה ב-DOM ופולט אירועי קליקים, צפייה בעמוד ושליחת טפסים ללא מדידה מפורשת, מה שמרחיב באופן דרמטי את המשטח של מה שנאסף.

ברגע שמשתמש מאומת והאפליקציה קוראת ל-mixpanel.identify(user_id), כל האירועים הבאים — ובהתאם להגדרה, כל האירועים האנונימיים הקודמים — משויכים לזהות המאומתת. השיוך הרטרואקטיבי הוא אחת מהתכונות השימושיות ביותר של Mixpanel ואחת החושפות ביותר מנקודת מבט של פרטיות: התנהגות גלישה אנונימית שנאספה לפני ההסכמה מקושרת רטרואקטיבית לפרופיל מזוהה ברגע שאותו משתמש מתחבר.

מדוע מסגרת "אנליטיקה של מוצר" לא משחררת אותך מהסכמה

טיעון נפוץ מצוותי מוצר והנדסה הוא שנתוני Mixpanel הם להחלטות מוצר פנימיות, לא לשיווק או פרסום, ושמסגרת שימוש פנימי זו צריכה להיות הצדקה מספקת תחת בסיס האינטרס הלגיטימי של GDPR. הטיעון שגוי במידה רבה משלוש סיבות שהרגולטורים היו מפורשים לגביהן.

העיבוד הוא עדיין עיבוד נתונים אישיים

ללא קשר למדוע הנתונים נאספים, העוגיות אינן חיוניות תחת Article 5(3) של ePrivacy והאירועים נושאים מזהים קבועים תחת הגדרת GDPR של נתונים אישיים. ניתוח הבסיס החוקי זהה לכל סקריפט מעקב אחר.

אינטרס לגיטימי דורש מבחן איזון

ה-CNIL, ה-ICO וה-EDPB כולם כתבו הנחיות שמבהירות שאינטרס לגיטימי לאנליטיקה התנהגותית דורש הערכה מתועדת המראה שהעיבוד הכרחי, פרופורציונלי, ואינו גובר על הציפיות הסבירות של המשתמש. עבור ספק SaaS של צד שלישי המקבל נתוני אירועים ברמת משתמש, מבחן איזון זה נדיר שמצליח ללא הסכמה מפורשת.

העברה חוצת גבולות היא עצמאית

גם אם היית יכול לבסס אינטרס לגיטימי לאיסוף עצמו, ההעברה הבינלאומית לתשתית ארה"ב של Mixpanel נושאת דרישת בסיס חוקי משלה שהסכמה או אמצעי הגנה חוזי בדרך כלל מספקים בצורה נקייה יותר מאינטרס לגיטימי לבדו.

בקרות פרטיות מקוריות של Mixpanel

Mixpanel חושפת קבוצה משמעותית של פרימיטיבים של פרטיות שמתוכננים לתמוך בהטמעות מוגבלות בהסכמה. כמו ברוב הפלטפורמות הן מניחות שהחלטת ההסכמה קיימת במעלה הזרם; הן לא אוספות אותה בעצמן.

opt_out_tracking

הקריאה ל-mixpanel.opt_out_tracking() עוצרת את ה-SDK משליחת אירועים ושומרת את העדפת הביטול בין סשנים. שלב אותה עם mixpanel.opt_in_tracking() כאשר המשתמש מקבל את קטגוריית האנליטיקה ב-CMP שלך. ה-SDK מכבד הגדרה זו בכל הקריאות הבאות מבלי לדרוש אתחול מחדש.

has_opted_out_tracking

פונקציית שאילתה שמחזירה את מצב הביטול הנוכחי, שימושית לסינכרון מצב ה-SDK עם מצב ה-CMP שלך בטעינת עמוד או שינוי מסלול.

אופציית התושבות באירופה

Mixpanel מציעה סוג פרויקט של תושבות נתונים ב-EU ששומר נתוני אירועים בתוך תשתית מבוססת Frankfurt. זה מטפל בחלק משמעותי מדאגת ההעברה חוצת הגבולות והוא ההגדרה הנכונה לכל פרויקט שבו תושבות EU היא דרישה קשיחה. זה לא מבטל את דרישת ההסכמה.

set_config({ ip: false })

משבית לכידת כתובת IP, מקטין את טביעת הרגל של הנתונים האישיים של כל אירוע. שימושי כאמצעי הגנה לעומק לצד שערי הסכמה.

אינטגרציית CMP שלב אחר שלב

דפוס האינטגרציה שעובד באופן אמין הוא לאתחל את Mixpanel במצב ביטול כברירת מחדל, ואז להצטרף את המשתמש כאשר הוא מקבל את קטגוריית האנליטיקה ב-CMP.

1. אתחל את Mixpanel עם ברירת המחדל של ביטול

קרא ל-mixpanel.init(token, { opt_out_tracking_by_default: true }) מוקדם ככל האפשר בהפעלת האפליקציה שלך. זה טוען את ה-SDK אך מונע ממנו לשלוח אירועים כלשהם עד ש-opt_in_tracking() נקרא.

2. חבר את קריאת ההסכמה

כאשר ה-CMP מפעיל את אירוע קבלת קטגוריית האנליטיקה, קרא ל-mixpanel.opt_in_tracking(). אירועים בתור שנלכדו במהלך תקופת הביטול בדרך כלל נמחקים; אם אתה צריך לשמור אותם, הגדר את התנהגות התור של ה-SDK באופן מפורש וקבל את הסיכון הקטן שאירועים מתקופת מה לפני ההסכמה נשלחים לאחר ההסכמה.

3. טפל בביטול

אם המשתמש מבטל מאוחר יותר את ההסכמה, קרא ל-mixpanel.opt_out_tracking(). זה עוצר קליטת אירועים נוספת. למחיקה מלאה של נתונים היסטוריים, האפליקציה חייבת בנוסף לקרוא ל-API המחיקה של Mixpanel או להפעיל בקשת מחיקה מממשק הפרויקט של Mixpanel.

4. הימנע ממיזוג זהות רטרואקטיבי ללא הסכמה מפורשת

השבת את התנהגות המיזוג הרטרואקטיבי של קריאת identify אלא אם המשתמש הסכים לקשר את הגלישה שלו לפני הזיהוי לפרופיל שלו. אפשרויות ה-SDK של Mixpanel חושפות דגל לזה; ברירת המחדל השמרנית היא "אין מיזוג רטרואקטיבי".

5. השתמש בפרויקט תושבות EU לתנועת EU

עבור פרויקטים שבהם תושבות EU חשובה, נתב תנועת EU לפרויקט Mixpanel של תושבות EU ותנועת ארה"ב/אחרת לפרויקט נפרד. ה-SDK תומך בטעינת טוקנים שונים בהתאם לאזור המזוהה של המשתמש.

מלכודות נפוצות

ארבע טעויות אינטגרציה מהוות את רוב ממצאי הביקורת על הטמעות Mixpanel.

להתייחס ל-Mixpanel כפטורה כי היא שימוש פנימי

זו הטעות הנפוצה ביותר. הנתונים הם נתונים אישיים, העוגייה אינה חיונית, וההעברה של צד שלישי היא אמיתית ללא קשר לאופן השימוש בנתונים במורד הזרם. שער את Mixpanel תחת הסכמת אנליטיקה כמו כל עוקב אחר.

להשאיר את Autocapture מופעל כברירת מחדל

Autocapture מרחיב באופן דרמטי את המשטח של מה שנשלח — כל קליק, כל אינטראקציה עם שדה קלט, כל צפייה בעמוד. משטח הסיכון גדל איתו. עבור רוב הטמעות SaaS, מדידה מפורשת מייצרת נתונים נקיים יותר וטביעת ביקורת קטנה יותר מ-Autocapture; כבה את Autocapture אלא אם יש לך סיבה ספציפית לשמור אותו.

לשכוח את מיזוג הזהות הרטרואקטיבי

התנהגות זיהוי ברירת המחדל משייכת אירועים אנונימיים למשתמש המזוהה כעת. אם המשתמש קיבל הסכמת אנליטיקה רק ברגע שהתחבר, שיוך רטרואקטיבי של הגלישה האנונימית שלו לפני ההסכמה יוצר בעיית תיעוד. השבת מיזוג רטרואקטיבי או הגבל אותו במפורש לאירועים לאחר ההסכמה.

קידוד קשיח של הנחת תושבות EU

מספר מפתיע של צוותים מנתבים את כל התנועה לפרויקט Mixpanel של תושבות ארה"ב תחת ההנחה שהסכמה מכסה את שאלת התושבות. היא לא — הסכמה ותושבות הן שאלות תאימות עצמאיות. נתב לפי אזור מזוהה, לא לפי ברירת מחדל גלובלית.

רשימת בדיקת ביקורת

שש שאלות קונקרטיות לענות עליהן עבור כל הטמעת Mixpanel הנוגעת בתנועת EU, UK או קליפורניה.

• האם Mixpanel מתחיל בביטול? אשר שה-SDK מאתחל עם opt_out_tracking_by_default: true ואין אירועים נורים לפני ההסכמה.
• האם הצטרפות נורה באירוע CMP הנכון? אשר שקריאת החזרה של קבלת האנליטיקה קוראת ל-opt_in_tracking(), לא לאירוע מתירני יותר.
• האם Autocapture הכרחי? אם הוא מופעל, תעד מדוע. אם לא, השבת אותו.
• האם מיזוג רטרואקטיבי מושבת? אשר שקריאת זיהוי לא משייכת התנהגות אנונימית לפני ההסכמה עם פרופילים שזוהו לאחרונה.
• האם תנועת EU על פרויקט תושבות EU? אשר שלוגיקת ניתוב שולחת מבקרי EU לטוקן פרויקט EU.
• האם בקשות מחיקה אוטומטיות? אשר שבקשות DSAR מפעילות את API המחיקה של Mixpanel במקום כרטיס ידני.

היכן Mixpanel משתלבת בערימה שמתחילה בהסכמה

פלטפורמות אנליטיקה של מוצר תופסות קטגוריה רגולטורית שצוותי מוצר לעתים קרובות מתנגדים לה — הם רוצים לחשוב על Mixpanel כתשתית פנימית, לא כעוקב של צד שלישי. רגולטורים אינם עושים את ההבחנה הזו, ופעולות האכיפה של השנתיים האחרונות הבהירו שהם לא יעשו זאת. הארכיטקטורה הנכונה מתייחסת ל-Mixpanel בדיוק כמו כל משטח אנליטיקה אחר של צד שלישי: שער אותה מאחורי הסכמה, השתמש בפרימיטיבים המקוריים של הצטרפות של הפלטפורמה כדי לאכוף את השער, נתב תנועת EU לתשתית תושבות EU, והשבת את התכונות (Autocapture, מיזוג זיהוי רטרואקטיבי) שמרחיבות את משטח הביקורת ללא תועלת אנליטית פרופורציונלית. כשזה נעשה נכון, צוותי מוצר שומרים על נתוני המשפך והשימור שהם צריכים, והצוות המשפטי שומר על התיעוד שהוא צריך כדי להגן על ההטמעה תחת ביקורת.