Kodėl PostHog reikalingas sutikimas – ir kodėl atsakymas nėra vienodas kiekvienam moduliui

PostHog žiniatinklio SDK nėra pasyvus puslapio žymuo. Numatytos inicializacijos metu SDK nustato vieną ar daugiau pirmosios šalies nuolatinumo įrašų – numatytoji kombinuota slapukas ir localStorage schema, raktinamas pagal ph_{projectKey}_posthog – generuoja stabilų skirtingą identifikatorių, fiksuoja pradinį puslapio peržiūrą su nuoroda, UTM parametrais ir paspaudimo identifikatoriais, bei atveria ilgaamžį įvykių kanalą sukonfigūruotam surinkimo šeimininkui. Jei sesijų atkūrimas įjungtas projekto lygyje, SDK taip pat pradeda srautą perduoti nuolatinį išrenderinto DOM, pelės koordinačių ir įvesties įvykių įrašą. Jei funkcijų vėliavėlės sukonfigūruotos, SDK jas vertina pagal skirtingą identifikatorių, išlaiko sprendimus sesijai ir išsiunčia $feature_flag_called įvykį kiekvienam vertinimui.

Kiekviena iš šių veiklų atitinka skirtingą sutikimo vartus. Nuolatinio identifikatoriaus išlaikymas yra saugojimo ir prieigos operacija pagal ePrivacy direktyvos 5 straipsnio 3 dalį ir reikalauja išankstinio, laisvai duoto, specifinio, informuoto ir nedviprasmiško sutikimo visoje EEE, Jungtinėje Karalystėje ir bet kurioje jurisdikcijoje, kuri priėmė tą patį standartą. Elgesio įvykių fiksavimas yra asmens duomenų tvarkymas pagal GDPR, nes identifikatoriaus, IP adreso ir elgesio pėdsako derinys yra pakankamas asmenį identifikuoti. Sesijų atkūrimas patenka į atskirą, griežtesnę kategoriją pagal EDPB sesijų atkūrimo gaires – atkūrimas fiksuoja išrenderintą DOM ir bet kurį neužmaskuotą įvesties lauką bei reikalauja aiškaus, granularaus sutikimo, kuris skiriasi nuo bendrinio analizės sutikimo. Funkcijų vėliavėlių vertinimas yra subtiliausias: vėliavėlės patikrinimas, grąžinantis loginę reikšmę, pats savaime nereikalauja sutikimo, tačiau vartotojo vėliavėlės priskyrimo išlaikymas stabiliam identifikatoriui visose sesijose reikalauja, nes taip vėliavėlėmis grindžiami eksperimentai kuria atsekamus vartotojo lygio duomenis.

Ką PostHog rašo prieš sutikimą – ir kas turi būti nuslopinta

Numatytoji PostHog naršyklės SDK inicializacijos metu rašo šiuos dalykus: vieną kombinuotą slapuką ir localStorage įrašą pagal ph_{projectKey}_posthog, kuriame yra skirtingas identifikatorius, sesijos identifikatorius ir funkcijų vėliavėlių sprendimai, be to, kai sesijų atkūrimas įjungtas, papildomą atminties buferį įrašymui, kuris išvalomas į surinkimo galutinį tašką kas kelias sekundes. SDK taip pat siunčia nedelsiantį $pageview įvykį ir, jei automatinis fiksavimas įjungtas, kiekvieną paskesnį paspaudimą, formos sąveiką ir įniršio paspaudimą puslapyje.

Rekomenduojamas šablonas yra inicializuoti PostHog su opt_out_capturing_by_default: true ir disable_session_recording: true, tada perjungti abu vėliavėles, kai sutikimo reklamjuostė grąžina teigiamą signalą. Tai yra integracijos pozicija, kurią dabar rekomenduoja PostHog dokumentacija, ir tai yra pozicija, kuri išgyvena reguliatoriaus peržiūrą, nes apverčia numatytuosius nustatymus: niekas nėra fiksuojama, kol sutikimas neįrašytas, ir SDK suteikia švarų perėjimą, o ne būsenų retromodifikaciją.

PostHog išlaikomi slapukai, localStorage įrašai ir identifikatoriai

Naršyklės SDK 1.x rašo vieną nuolatinumo įrašą projektui, raktinamas pagal ph_{projectKey}_posthog, numatytai su 365 dienų galiojimo laiku. persistence init parinktis valdo pagrindinį mechanizmą: tik cookie, tik localStorage, localStorage+cookie (numatytoji), sessionStorage arba memory. Sutikimą pirmiems statančiam diegimui memory nuolatinumas yra tinkamas numatytasis, kai sutikimas dar nesuteiktas – tai užtikrina, kad joks identifikatorius neišgyvens puslapio sesijos – pereinant prie localStorage+cookie, kai sutikimas įsijungia. SDK taip pat rašo įsijungimo arba atsisakymo žymeklį pagal __ph_opt_in_out_{projectKey}, kad prisimintų vartotojo pasirinkimą apsilankymų metu; tas žymeklis pats savaime yra griežtai būtinas slapukas, nes išlaiko sutikimo sprendimą.

PostHog modulių žemėlapis su sutikimo sistemomis

PostHog neįdiegia IAB TCF ar IAB Global Privacy Platform natūraliai ir nėra sukurta kaip reklamos technologijų tiekėjas. Tačiau ji integruojasi su Google Consent Mode v2 per leidėjo pusės tiltinį ryšį, atskleidžia natyvią įsijungimo ir atsisakymo API ir gerbia Do Not Track antraštę per respect_dnt init parinktį. Gamyboje veikiantis šablonas kiekvieną PostHog modulį laiko atskiru vartais, susietais su konkrečiu CMP signalu.

• Produkto analizės įvykiai susiejami su analizės tikslu. TCF terminais tai dažniausiai yra 8 tikslas (turinio efektyvumo matavimas) kartu su 1 tikslu (informacijos saugojimas ir (arba) prieiga). Consent Mode atveju tai atitinka analytics_storage.
• Sesijų atkūrimas yra už griežtesnių vartų. PostHog sesijų atkūrimas fiksuoja išrenderintą DOM ir bet kurį neužmaskuotą įvesties lauką, todėl pagal EDPB gaires pirmenybės lygio arba tyrimo lygio įsijungimas, atskiras nuo analizės, yra gynybinga pozicija.
• Funkcijų vėliavėlės ir eksperimentai gali veikti su efemeru, atminties vertinimu teisėtų interesų pagrindu, kai tikslas yra tik keisti išrenderintą puslapį. Nuolatinis vėliavėlės priskyrimas, susietas su stabiliu identifikatoriumi visose sesijose, reikalauja to paties sutikimo kaip analizė, nes tai momentas, kai vėliavėlė tampa sekamu vartotojo lygio duomenų tašku.
• Apklausos ir atsiliepimai susiejami su tais pačiais vartais kaip sesijų atkūrimas, kai renkami laisvo teksto įvesčiai, arba su analizės vartais, kai renkami tik įvertinimai ar vieno pasirinkimo atsakymai.

Veikiantis integracijos šablonas

Referencinis diegimas turi keturias dalis: CMP, skleidžiančią sutikimo pakeitimo įvykį realiuoju laiku, atidėtą įkroviklį, inicializuojantį PostHog su išjungtu fiksavimu ir atkūrimu, sutikimo klausytoją, perjungiantį opt_in_capturing ir įrašymo jungiklį, kai atitinkami vartai atsidaro, ir atsitraukimo kelią, kviečiantį opt_out_capturing, stabdantį atkūrimo buferį ir valantį nuolatinius identifikatorius per SDK atstatymo API.

Žiniatinklio įgyvendinimas

Švariausias šablonas yra įkelti PostHog SDK kiekviename puslapyje, bet kaip pradinį įkroviklį iškviesti posthog.init(apiKey, { api_host: 'https://eu.posthog.com', opt_out_capturing_by_default: true, disable_session_recording: true, persistence: 'memory', respect_dnt: true }). Prenumeruoti CMP sutikimo pakeitimo įvykį. Kai analizės kategorija perjungiama į true, iškviesti posthog.set_config({ persistence: 'localStorage+cookie' }), po to posthog.opt_in_capturing(); tai iš naujo įjungia įvykių fiksavimą ir nuolatinumo perėjimas pradeda rašyti skirtingą identifikatorių. Kai sesijų atkūrimo kategorija perjungiama į true, iškviesti posthog.startSessionRecording(). Kai kurie vartai atsitraukia, iškviesti posthog.opt_out_capturing() analizės vartams arba posthog.stopSessionRecording() atkūrimo vartams, galiojimo laiką baigti atitinkamiems nuolatinumo įrašams per posthog.reset(), ir išsiųsti ištrynimo užklausą per PostHog GDPR API, jei vartotojas pasinaudojo savo teise į ištrynimą.

Regiono pasirinkimas: PostHog Cloud JAV vs ES vs savarankiškas

PostHog valdo du debesų regionus – JAV (us.posthog.com) ir ES (eu.posthog.com) – ir palaiko savarankiškus diegimus kliento infrastruktūroje. EEE ir Jungtinės Karalystės srautui ES debesys yra tinkamas numatytasis; jis išlaiko surinkimą, tvarkymą ir saugojimą EEE viduje ir sumažina Schrems II poveikį, kurį bet kuris JAV regiono analizės diegimas turi. api_host init parinktis fiksuoja regioną. Savarankiškas PostHog perkelia visą įrankinę į leidėjo infrastruktūrą, tai yra stipriausia duomenų rezidumo pozicija, bet neatšaukia sutikimo prievolių – teisinis pagrindas seka duomenis, ne operatorių. Kad ir kuris variantas būtų pasirinktas, tai turi atsispindėti privatumo pranešime ir valdytojo tvarkymo įrašuose.

Serverio pusės fiksavimas

PostHog palaiko serverio pusės įvykių surinkimą per Python, Node, Go, Ruby ir PHP SDK. Serverio pusės įvykiai nėra atleisti nuo sutikimo – teisinis pagrindas seka duomenis – tačiau serverio pusės surinkimas suteikia leidėjui visišką kontrolę, kokie laukai išsiunčiami ir kada. Įprastas šablonas yra fiksuoti minimalų, tik esminių įvykių rinkinį serverio pusėje teisėtų interesų pagrindu, po to praturtinti tuos įvykius elgesio detalėmis iš kliento tik tada, kai vartotojas suteikė analizės sutikimą. Serverio ir kliento pusės įvykiai jungiasi prie to paties skirtingo identifikatoriaus, kai sutikimas buvo įjungtas; prieš sutikimą serverio pusės įvykiai išsiunčiami su anoniminiu, efemerišku identifikatoriumi, kuris atstatomas kiekvienoje sesijoje.

Integracijos ir audito pėdsako patvirtinimas

Patvirtinimo žingsnis yra tai, ką reguliatoriai tikrina ir ką leidėjai dažniausiai praleido. Teisingai integruotas PostHog diegimas turi išlaikyti keturis testus iš eilės. Pirma, švari naršyklės sesija su rodoma reklamjuoste, bet be pasirinkimo, turi duoti nulinį užklausų kiekį sukonfigūruotam api_host be SDK failo gavimo, nulinį ph_ slapukų kiekį document.cookie ir nulinį ph_ įrašų kiekį localStorage. Antra, atsisakius analizės, ta būsena turi išlikti – joks fiksavimas, joks įrašymas, joks nuolatinis identifikatorius. Trečia, priėmus analizę, turi būti iš karto sukurtas $opt_in įvykis, tikėtinas ph_{projectKey}_posthog nuolatinumo įrašas su teisingais SameSite atributais ir įvykių srautas, tekantis sukonfigūruotam šeimininkui. Ketvirta, vėliau atsisakius sutikimo, turi nedelsiant sustoti papildomas fiksavimas ir atkūrimas, baigti galioti nuolatiniai identifikatoriai ir per PostHog GDPR API suaktyvinti ištrynimo užklausą, jei vartotojas pasinaudojo ištrynimo teise.

Audito pėdsako lūkestis pagal EDPB 2023 m. slapukų reklamjuosčių gaires ir atnaujintus 2026 m. darbo grupės prioritetus yra tas, kad leidėjas gali įrodyti bet kuriam PostHog projekto įvykiui, kad jį sukūręs vartotojas buvo davęs galiojantį sutikimą fiksavimo metu. Standartinis šablonas yra nustatyti sutikimo versiją ir laiko žymą kaip asmens savybes prie skirtingo ID per posthog.setPersonProperties({ consent_version: 'v3', consent_ts: ts }), kad bet kuris atskiras įvykis galėtų būti atsekamas iki konkretaus sutikimo žurnalo įrašo. Tinkamai aptvertos diegimas, suporuotas su regiono pasirinkimu, atitinkančiu auditoriją, nuolatinumu, kuris pagal numatytuosius nustatymus yra atmintis, ir ištrynimo keliu, suaktyvinamu atsisakymo metu, tai yra tai, kas paverčia PostHog iš reguliacinio koncentracijos rizikos į gynybingą produkto analizės įrankinės centrą.