De ce urmărirea HubSpot are nevoie de un semnal real de consimțământ

HubSpot plasează mai mulți cookie-uri proprii pe dispozitivul unui vizitator imediat ce scriptul de urmărire (fragmentul JavaScript HubSpot, de obicei hs-scripts.com/{hub_id}.js) este executat. Cele mai importante sunt __hstc, hubspotutk și __hssc, care împreună identifică vizitatorul între sesiuni, leagă trimiterile de formulare de istoricul anonim de navigare și alimentează modelele de scoring al lead-urilor în CRM. În conformitate cu GDPR și Directiva ePrivacy, toate trei sunt cookie-uri neesențiale care necesită un consimțământ prealabil liber exprimat, specific, informat și neechivoc. Încărcarea fragmentului în antetul documentului — care este modelul implicit de integrare al HubSpot — plasează acele cookie-uri înainte ca vizitatorul să fi fost întrebat ceva.

Consecințele nu sunt teoretice. Autoritățile de protecție a datelor din Franța, Italia și Spania au emis acțiuni de executare în ultimii doi ani împotriva organizațiilor ale căror stive de marketing au setat cookie-uri de urmărire înainte de consimțământ. Amenzile au variat de la penalități cu cinci cifre pentru editori mici până la penalități de milioane de euro pentru întreprinderi mari. Bannerul nativ de cookie-uri al HubSpot există, dar este intenționat ușor și nu blochează, prin el însuși, fragmentul să se activeze. Majoritatea recenzorilor de conformitate îl tratează ca pe un strat de notificare, nu ca pe un strat de control.

Ce urmărește de fapt HubSpot

Înainte de a decide cum să blocați HubSpot, este util să fiți precis cu privire la categoriile de procesare implicate. Suprafața de urmărire a HubSpot se împarte în patru categorii suprapuse, fiecare cu propriile implicații privind consimțământul.

Analiza comportamentală

Evenimentele de vizualizare a paginii, clic, derulare și durată a sesiunii sunt colectate automat odată ce codul de urmărire se încarcă. Aceste evenimente construiesc cronologia vizitatorului pe care o vedeți în înregistrările de contact ale HubSpot și reprezintă baza oricărei reguli de scoring al lead-urilor sau de flux de lucru. Din perspectiva unui regulator, aceasta este urmărire analitică simplă și necesită consimțământ prin opt-in în UE și SEE. În Regatul Unit, ghidul ICO din 2023 îl tratează în mod identic.

Formulare și chat

Formularele HubSpot și widgetul de chat HubSpot (anterior integrarea Drift) pot fi configurate să se încarce independent de scriptul principal de urmărire. Trimiterile de formulare sunt, în cele mai multe analize juridice, considerate o activitate de procesare separată cu propria bază legală — de obicei executarea contractuală sau interesul legitim. Chat-ul care înregistrează transcrieri pe un server terț necesită totuși în general consimțământ pentru înregistrarea în sine.

Legarea identității între domenii

Dacă utilizați același portal HubSpot pe mai multe domenii, fragmentul va încerca să seteze și să citească cookie-uri în mod care leagă vizitatorii între acele proprietăți. Aceasta intră în ceea ce CEPD numește „urmărire" în sens strict și este categoria cu cel mai mare risc. Este și cea mai probabilă să fie marcată în cadrul unei DPIA.

Integrări de marketing

HubSpot poate trimite evenimente către Google Ads, Meta, LinkedIn și alte rețele de publicitate prin integrările sale. Fiecare dintre acele transferuri ulterioare are propriile cerințe de consimțământ și, în UE, propria evaluare a transferului de date.

Bannerul nativ HubSpot vs. CMP terț

HubSpot vine cu un banner de consimțământ pentru cookie-uri integrat pe care îl puteți activa din Setări > Confidențialitate & Consimțământ. Va afișa o notificare configurabilă, va înregistra o înregistrare de consimțământ pentru contact și va respecta o singură excludere pentru analiză. Pentru organizații foarte mici care operează în jurisdicții cu risc scăzut, poate fi suficient. Pentru oricine serios în privința conformității — sau pentru oricine rulează publicitate conștientă de modul de consimțământ — nu este suficient.

Motivele pentru a trece la un CMP terț sunt practice:

• Categorii granulare. Bannerul nativ nu separă cookie-urile strict necesare, funcționale, analitice și de marketing în comutatoare distincte, ceea ce este structura pe care o așteaptă regulatorii.
• Suport IAB TCF și GPP. Dacă participați la publicitatea programatică, aveți nevoie de un CMP certificat de Google care emite un șir TC valid. Bannerul nativ HubSpot nu face acest lucru.
• Consent Mode v2. Google necesită acum semnale de consimțământ livrate în format v2 pentru traficul SEE. Un CMP dedicat conectează acest lucru de la un capăt la altul, inclusiv configurația de refuz implicit.
• Multilingv și accesibilitate. Majoritatea platformelor CMP vin cu peste 30 de pachete de limbă și setări implicite conforme cu WCAG. Bannerul integrat al HubSpot este mai limitat.
• Jurnalizare de nivel de audit. Un CMP dedicat înregistrează fiecare decizie de consimțământ cu marcaj de timp, versiunea bannerului și alegerea — dovezile pe care regulatorii le cer în investigații.

Integrare pas cu pas cu un CMP terț

Modelul de integrare care funcționează în mod fiabil este să păstrați fragmentul HubSpot pe pagină, dar să împiedicați execuția acestuia până când o decizie de consimțământ este înregistrată. Mai jos este abordarea canonică, scrisă generic pentru a se aplica oricărui CMP modern, inclusiv FlexyConsent.

1. Eliminați fragmentul implicit din antetul documentului

In your site template, delete the inline <script> tag that loads hs-scripts.com/{hub_id}.js. Replace it with a placeholder that your CMP can activate later, typically by setting the type attribute to text/plain and adding a category data attribute such as data-category="marketing".

2. Mapați HubSpot la categoria corectă de consimțământ

Majoritatea platformelor CMP folosesc IAB TCF sau un model cu patru categorii: necesar, funcțional, analitic, marketing. Scriptul de urmărire al HubSpot atinge atât categoriile analitice, cât și cele de marketing din cauza integrării CRM. Maparea conservatoare este să blocați întregul fragment în spatele categoriei de marketing, care este cea mai restrictivă. Dacă CMP-ul dvs. permite mapare detaliată, puteți împărți: încărcați formularele în funcțional, încărcați evenimentele analitice în analitic și încărcați legarea identității CRM în marketing.

3. Configurați callback-ul de activare

CMP-ul dvs. expune un eveniment sau callback care se declanșează când un utilizator acordă consimțământ pentru o categorie. În acel callback, rescrieți atributul type al tag-ului script marcator înapoi la text/javascript și atașați-l la document. Scriptul se va încărca și executa normal. Pentru un SPA, înregistrați callback-ul la fiecare schimbare de rută astfel încât paginile nou montate să primească și ele activarea.

4. Conectați Consent Mode v2

Dacă utilizați Google Ads sau GA4 alături de HubSpot, CMP-ul dvs. trebuie să trimită semnalele de consimțământ v2 — ad_storage, analytics_storage, ad_user_data, ad_personalization — în dataLayer înainte ca orice tag Google să se declanșeze. HubSpot în sine nu consumă aceste semnale, dar restul stivei dvs. o face, iar inconsistența dintre HubSpot și Google va apărea în raportarea dvs. ca un decalaj de venituri măsurabil.

5. Sincronizați starea consimțământului în HubSpot CRM

Când un contact cunoscut își actualizează consimțământul (de exemplu, revizitând bannerul și revocând consimțământul de marketing), ar trebui să reflectați asta în înregistrarea HubSpot pentru ca logica fluxului de lucru să oprească trimiterea de e-mailuri de marketing. API-ul HubSpot expune un endpoint communication-preferences care acceptă actualizări la nivel de abonament. Majoritatea platformelor CMP pot fi configurate să apeleze acest endpoint dintr-un hook pe partea de server.

Greșeli frecvente și cum să le evitați

Trei erori de integrare sunt responsabile pentru majoritatea constatărilor de audit pe care le vedem în stivele cu utilizare intensivă HubSpot.

Încărcarea fragmentului prea devreme

Unele echipe plasează tag-ul HubSpot în interiorul unui manager de tag-uri și presupun că managerul de tag-uri gestionează consimțământul. Google Tag Manager respectă modul de consimțământ, dar numai pentru tag-urile care cer explicit o stare acordată. Dacă tag-ul HubSpot este configurat fără acea cerință, GTM îl va declanșa indiferent. Setați întotdeauna câmpul Consimțământ suplimentar pe tag pentru a necesita consimțământ de marketing înainte de declanșare.

Uitarea scripturilor de formular

Formularele HubSpot sunt servite de pe un domeniu separat (forms.hsforms.com) și pot fi încorporate cu propriul script. Dacă blocați fragmentul principal de urmărire, dar lăsați scriptul formularului să se încarce la randarea inițială, nu ați rezolvat de fapt problema — biblioteca de formulare setează propriile cookie-uri de identificare. Blocați ambele și lăsați CMP-ul să le încarce împreună.

Tratarea excluderii ca includere

Setările native ale HubSpot includ o opțiune Do Not Track și o excludere cu un singur clic. Unele echipe le interpretează ca un mecanism suficient pentru a respecta GDPR. Nu sunt — GDPR necesită opt-in afirmativ pentru cookie-urile neesențiale, iar o casetă de excludere îngropată într-o pagină de confidențialitate nu îndeplinește acel criteriu. Faceți din CMP sursa autoritativă a stării de consimțământ și configurați HubSpot să se supună acesteia.

Documentație pregătită pentru audit

După ce integrarea tehnică este în loc, ultimul pas este să vă asigurați că urma dvs. de dovezi poate rezista unei solicitări din partea unui regulator. Păstrați cel puțin o evidență a: categoriilor la care CMP-ul dvs. mapează HubSpot, versiunii bannerului de consimțământ activ la orice dată dată, șirurilor TC eșantion care arată consimțământul valid și jurnalelor API care dovedesc că HubSpot nu a declanșat niciun apel de urmărire înainte ca consimțământul să fie acordat. Majoritatea acțiunilor de executare se blochează nu la tehnologie, ci la documentație — organizațiile care pot produce o pistă documentară clară rezolvă de obicei investigațiile mult mai rapid decât cele care nu pot. O platformă de gestionare a consimțământului care exportă aceste artefacte la cerere transformă auditul dintr-o agitație de mai multe săptămâni într-un răspuns de o după-amiază.