Przewodnik po integracji zgody na pliki cookie w analityce produktowej Heap Auto-Capture: Poradnik 2026 dla wydawców
Heap jest wyjątkowy w ekosystemie analityki produktowej ze względu na to, co robi domyślnie. Podczas gdy Mixpanel, Amplitude i PostHog proszą wydawcę o instrumentację istotnych zdarzeń, Heap przechwytuje wszystko automatycznie i pozwala analitykowi retrospektywnie definiować zdarzenia z przechwyconych danych. Ten model automatycznego przechwytywania jest definiującą cechą produktu i powodem, dla którego zespoły go wybierają; jest też powodem, dla którego domyślne wdrożenie Heap niesie ze sobą jedną z najszerszych powierzchni danych behawioralnych spośród wszystkich narzędzi, które wydawca może zainstalować. Każde kliknięcie, dotknięcie, przewijanie, interakcja z formularzem, przejście między stronami i kliknięcie z frustracją jest przechwytywane względem trwałego identyfikatora w ciągu milisekund od załadowania strony — co oznacza, że każda z tych operacji rodzi obowiązek uzyskania zgody. Dobra wiadomość jest taka, że Heap, od czasu przejęcia przez Contentsquare, jest wyposażony w jeden z bardziej szczegółowych interfejsów API zgody w przestrzeni analityki produktowej; praca polega na właściwym podłączeniu go do powierzchni automatycznego przechwytywania, warstwy tożsamości i modułu odtwarzania sesji dodawanego przez integrację Contentsquare.
Dlaczego Heap wymaga zgody — i dlaczego odpowiedź jest szersza niż w przypadku typowej analityki
Domyślna inicjalizacja Heap wykonuje kilka czynności podczas pierwszego renderowania strony. Ustawia plik cookie pierwszej strony pod kluczem _hp2_id.{envId} zawierający trwały identyfikator użytkownika, plik cookie sesji pod kluczem _hp2_ses_id.{envId} z identyfikatorem sesji, plik cookie częstotliwości próbkowania pod kluczem _hp2_props.{envId} oraz znacznik _hp2_loaded wskazujący, że SDK został zainicjalizowany. Generuje unikalny identyfikator, jeśli jeszcze nie istnieje, przechwytuje początkowe wyświetlenie strony wraz z refererem, parametrami UTM i identyfikatorami kliknięć, a następnie natychmiast rozpoczyna rejestrowanie wszystkich kolejnych interakcji względem tego identyfikatora — kliknięć, dotknięć, zmian w formularzach, zmian tras, zdarzeń niestandardowych, a gdy integracja Contentsquare jest włączona, pełnej różnicy renderowanego DOM dla odtwarzania sesji.
Każda z tych czynności uruchamia osobną bramkę zgody. Utrwalanie identyfikatora użytkownika jest operacją przechowywania i dostępu w rozumieniu art. 5 ust. 3 dyrektywy ePrivacy i wymaga uprzedniej, dobrowolnej, konkretnej, świadomej i jednoznacznej zgody na terenie EOG, Wielkiej Brytanii i każdej jurysdykcji, która przyjęła ten sam standard. Przechwytywanie strumienia zdarzeń automatycznego przechwytywania stanowi przetwarzanie danych osobowych w rozumieniu RODO, ponieważ połączenie identyfikatora, adresu IP i śladu behawioralnego wystarczy do wyodrębnienia konkretnej osoby. Odtwarzanie sesji należy do odrębnej, bardziej rygorystycznej kategorii zgodnie z wytycznymi EDPB dotyczącymi odtwarzania sesji — odtwarzanie przechwytuje renderowany DOM i wszystkie niezmaskowane pola wejściowe, wymaga zatem wyraźnej i szczegółowej zgody odrębnej od ogólnej zgody na analitykę. CCPA i CPRA traktują to samo przetwarzanie jako sprzedaż lub udostępnianie, chyba że wydawca posiada odpowiednią umowę z Heap jako dostawcą usług — którą Heap oferuje, ale umowa wchodzi w życie dopiero po skonfigurowaniu integracji w trybie dostawcy usług.
Co Heap zapisuje przed udzieleniem zgody — i co musi być zablokowane
Standardowy szybki start dostarczany z pulpitem nawigacyjnym Heap instaluje fragment śledzący bezpośrednio w sekcji <head> strony. Działa to zgodnie z dokumentacją i jest źródłem najczęstszego błędu zgodności we wdrożeniach Heap: fragment jest wykonywany przed wyrenderowaniem banera cookie, pliki cookie _hp2_ są zapisywane w ciągu milisekund, a strumień automatycznego przechwytywania zaczyna napływać do heapanalytics.com niezależnie od tego, co użytkownik zdecyduje później. Każdy europejski regulator, który wydał wyrok w tej sprawie, orzekł tak samo: pliki cookie ustawione przed udzieleniem zgody są niezgodne z prawem, a wydawca ponosi odpowiedzialność.
Zgodna integracja musi zatem uniemożliwić załadowanie fragmentu Heap do momentu udzielenia odpowiedniej kategorii zgody. Dwa wzorce działające w środowisku produkcyjnym to warunkowe wstrzykiwanie skryptu — fragment jest dodawany do DOM dopiero po sygnalizacji zgody przez CMP — oraz wstępne ładowanie fragmentu z użyciem heap.load(appId, { disableTextCapture: true, secureCookie: true, autocapture: false }) jako odroczonego bootstrapu, a następnie wywołanie heap.startAutoCapture() po zarejestrowaniu zgody. Wzorzec warunkowego wstrzykiwania jest czystszy i tym, który dokumentacja Heap zaleca obecnie. Wzorzec odroczonego bootstrapu jest właściwym wyborem, gdy wydawca potrzebuje stabilnego globalnego odwołania do łączenia tożsamości, ale nie może dopuścić do uruchomienia automatycznego przechwytywania przed udzieleniem zgody.
Pliki cookie i dane przechowywane przez Heap
Fragment Heap zapisuje podczas inicjalizacji następujące identyfikatory, z których wszystkie są nieistotne i wymagają zgody: _hp2_id.{envId} z ważnością 14 miesięcy zawierający identyfikator użytkownika, _hp2_ses_id.{envId} z ważnością sesji 30 minut, _hp2_props.{envId} do częstotliwości próbkowania i propagacji właściwości, oraz _hp2_loaded jako znacznik załadowania. Moduł odtwarzania sesji zintegrowany z Contentsquare dodaje bufor nagrań w pamięci, który jest opróżniany do punktu końcowego Heap co kilka sekund i może osobno przechowywać niewielki identyfikator sesji odtwarzania. Wycofanie zgody musi zatem zarówno wygasić pliki cookie _hp2_, jak i zasygnalizować żądanie usunięcia przez API GDPR Heap dla wcześniejszych nagrań użytkownika i strumienia zdarzeń.
Mapowanie Heap na ramy prawne zgody
Heap nie implementuje natywnie IAB TCF ani Globalnej Platformy Prywatności IAB — jest to platforma analityki produktowej pierwszej strony, a nie dostawca technologii reklamowej — ale integruje się z Google Consent Mode v2 poprzez mostkowanie po stronie wydawcy, udostępnia natywne API opt-in i opt-out oraz obsługuje warstwę redakcji właściwości wrażliwych działającą niezależnie od stanu zgody. Wzorzec, który przeżywa przegląd regulatora, traktuje każdy moduł Heap jako osobną bramkę powiązaną z określonym sygnałem CMP.
- Automatyczne przechwytywanie i strumień zdarzeń podstawowych są powiązane z celem analitycznym. W kategoriach TCF jest to najczęściej cel 8 (mierzenie wydajności treści) połączony z celem 1 (przechowywanie informacji i/lub dostęp do nich). W przypadku Consent Mode odpowiada to analytics_storage.
- Odtwarzanie sesji przez integrację Contentsquare znajduje się za bardziej rygorystyczną, odrębną bramką, ponieważ odtwarzanie przechwytuje renderowany DOM i wszystkie niezmaskowane pola wejściowe, a wytyczne EDPB dotyczące odtwarzania sesji traktują je jako kategorię wymagającą wyraźnej i szczegółowej zgody odrębnej od ogólnej analityki.
- Identyfikacja użytkownika przez heap.identify() może być wykonywana z efemerycznym identyfikatorem sesji na podstawie uzasadnionego interesu, gdy użytkownik jest anonimowy, ale łączenie identyfikacji z trwałym identyfikatorem pierwszej strony między sesjami wymaga tej samej zgody co analityka, ponieważ to właśnie wtedy identyfikator staje się możliwym do śledzenia punktem danych na poziomie użytkownika.
- Propagacja tożsamości między witrynami lub produktami przez API tożsamości wymaga bramki marketingowej, ponieważ przekracza granicę między analityką produktową a atrybucją marketingową na poziomie użytkownika.
Wzorzec integracji, który działa
Wdrożenie referencyjne składa się z czterech części: CMP udostępniającego zdarzenie zmiany zgody w czasie rzeczywistym, odroczonego bootstrapu ładującego Heap z wyłączonym automatycznym przechwytywaniem, odbiornika zgody włączającego automatyczne przechwytywanie i uruchamiającego bufor odtwarzania sesji po otwarciu odpowiednich bramek, oraz ścieżki wycofania wywołującej heap.resetIdentity(), zatrzymującej automatyczne przechwytywanie, wygaszającej pliki cookie _hp2_ i wysyłającej żądanie usunięcia przez punkt końcowy GDPR Heap.
Implementacja webowa
W przypadku sieci web najczystszym wzorcem jest warunkowe ładowanie fragmentu Heap — tag <script> jest wstrzykiwany dopiero po przyznaniu kategorii analitycznej. Zasubskrybuj zdarzenie zmiany zgody CMP. Gdy kategoria analityczna przechodzi na true, wstrzyknij fragment Heap z secureCookie: true, disableTextCapture: false dla pełnego automatycznego przechwytywania i dowolną konfigurację specyficzną dla środowiska. Gdy zgoda na odtwarzanie sesji przechodzi na true i integracja Contentsquare jest włączona, bufor odtwarzania aktywuje się automatycznie. Gdy którakolwiek z bramek zostanie wycofana, wywołaj heap.resetIdentity(), a następnie usuń element skryptu Heap, wygaś pliki cookie _hp2_ przez document.cookie i wywołaj API usuwania GDPR dla identyfikatora użytkownika.
Redakcja wrażliwych właściwości
Heap jest wyposażony w warstwę redakcji działającą niezależnie od stanu zgody, której wydawcy powinni używać nawet po udzieleniu zgody. Atrybut data-heap-redact-text na polu formularza eliminuje przechwyconą treść tekstową; atrybut data-heap-redact-attributes eliminuje atrybuty elementu. Zgodnie z zasadami RODO dotyczącymi danych szczególnych kategorii oraz definicją CCPA wrażliwych danych osobowych każde pole, które może przechwytywać dane zdrowotne, szczegóły finansowe, identyfikatory rządowe, dane biometryczne, precyzyjną geolokalizację lub treść prywatnych komunikatów, musi używać atrybutów redakcji niezależnie od stanu zgody użytkownika. Ustawienie atrybutów na poziomie formularza jest najbezpieczniejszym wzorcem — eliminuje cały formularz, nawet gdy deweloper doda nowe pole, które zapomni oznaczyć indywidualnie.
Wybór regionu: rezydencja danych w UE a USA
Heap obsługuje oddzielne punkty końcowe przetwarzania w UE i USA. Dla ruchu z EOG i Wielkiej Brytanii punkt końcowy UE jest właściwym domyślnym wyborem; utrzymuje przetwarzanie, sprzedaż i przechowywanie danych w obrębie EOG i zmniejsza ekspozycję na ryzyko Schrems II, które niesie każde wdrożenie analityczne w regionie USA. Punkt końcowy jest ustawiany przez konfigurację fragmentu i nie może być zmieniany retroaktywnie — istniejące dane pozostają tam, gdzie zostały pierwotnie pozyskane. Dla wydawców planujących wdrożenie Heap warto zatem potwierdzić region przed skalowaniem i udokumentować wybór w informacji o prywatności, aby łańcuch podstawy prawnej był przejrzysty od zbierania do przechowywania danych.
Walidacja integracji i ścieżki audytu
Etap walidacji jest tym, co sprawdzają regulatorzy i co wydawcy najczęściej pomijają. Prawidłowo zintegrowane wdrożenie Heap musi przejść pomyślnie cztery testy sekwencyjnie. Po pierwsze, czysta sesja przeglądarki z wyświetlonym banerem, ale bez dokonanego wyboru, musi generować zero żądań do heapanalytics.com poza pobraniem pliku SDK i zero plików cookie _hp2_ w document.cookie. Po drugie, odrzucenie analityki musi utrzymać ten stan — brak automatycznego przechwytywania, brak identyfikatora, brak nagrywania. Po trzecie, zaakceptowanie analityki musi wygenerować oczekiwany plik cookie _hp2_id z prawidłowymi atrybutami SameSite i ruchem zdarzeń napływającym do skonfigurowanego punktu końcowego regionu. Po czwarte, wycofanie zgody musi natychmiast zatrzymać dalsze automatyczne przechwytywanie i odtwarzanie, wygasić pliki cookie _hp2_ i uruchomić żądanie usunięcia przez API GDPR Heap.
Oczekiwanie dotyczące ścieżki audytu zgodnie z wytycznymi EDPB z 2023 r. w zakresie banerów cookie i odnowionymi priorytetami grupy roboczej na 2026 r. jest takie, że wydawca może udowodnić dla każdego danego zdarzenia w projekcie Heap, że użytkownik, który je wygenerował, udzielił ważnej zgody w momencie przechwycenia. Standardowym wzorcem jest ustawienie wersji zgody i znacznika czasu jako właściwości użytkownika na unikalnym ID przez heap.addUserProperties({ consent_version: 'v3', consent_ts: ts }), dzięki czemu każde indywidualne zdarzenie można prześledzić wstecz do konkretnego wpisu w dzienniku zgód. Prawidłowo zabezpieczone wdrożenie, w połączeniu z atrybutami redakcji domyślnie eliminującymi wrażliwe pola i ścieżką usuwania aktywowaną przy wycofaniu zgody, sprawia, że model automatycznego przechwytywania Heap przestaje być ryzykiem koncentracji regulacyjnej, a staje się jednym z najbardziej wydajnych i możliwych do obrony elementów stosu analityki produktowej wydawcy.