Почему отслеживанию HubSpot нужен реальный сигнал согласия

HubSpot размещает ряд first-party cookie на устройстве посетителя, как только выполняется скрипт отслеживания (фрагмент JavaScript HubSpot, обычно hs-scripts.com/{hub_id}.js). Наиболее значимые — это __hstc, hubspotutk и __hssc, которые вместе идентифицируют посетителя между сессиями, связывают отправки форм с историей анонимного просмотра и питают модели оценки лидов в CRM. Согласно GDPR и Директиве ePrivacy, все три являются неосновными cookie, которые требуют свободно данного, конкретного, информированного и недвусмысленного предварительного согласия. Загрузка фрагмента в заголовок документа — что является шаблоном интеграции HubSpot по умолчанию — размещает эти cookie до того, как у посетителя вообще что-либо спросили.

Последствия не теоретические. Органы защиты данных во Франции, Италии и Испании за последние два года выдали меры по правоприменению против организаций, чьи маркетинговые стеки устанавливали cookie отслеживания до согласия. Штрафы варьировались от пятизначных штрафов для малых издателей до многомиллионных евро штрафов для крупных предприятий. Собственный cookie-баннер HubSpot существует, но он намеренно лёгкий и сам по себе не блокирует срабатывание фрагмента. Большинство проверяющих соответствие рассматривают его как уровень уведомления, а не как уровень контроля.

Что HubSpot на самом деле отслеживает

Прежде чем решить, как закрыть HubSpot, полезно быть точным в том, какие категории обработки задействованы. Поверхность отслеживания HubSpot делится на четыре перекрывающихся блока, каждый со своими последствиями для согласия.

Поведенческая аналитика

События просмотра страницы, клика, прокрутки и продолжительности сессии собираются автоматически, как только загружается код отслеживания. Эти события строят временную шкалу посетителя, которую вы видите внутри записей контактов HubSpot, и являются основой каждого правила оценки лидов или рабочего процесса. С точки зрения регулятора это прямое аналитическое отслеживание и требует opt-in согласия в ЕС и ЕЭЗ. В Великобритании руководство ICO 2023 года трактует его идентично.

Формы и чат

Формы HubSpot и виджет чата HubSpot (ранее интеграция Drift) могут быть настроены на независимую загрузку от основного скрипта отслеживания. Отправки форм, в большинстве юридических анализов, считаются отдельной деятельностью по обработке со своим собственным правовым основанием — обычно исполнение договора или законный интерес. Чат, который записывает транскрипты на сторонний сервер, однако, обычно требует согласия на саму запись.

Сшивание идентичности между доменами

Если вы используете один и тот же портал HubSpot на нескольких доменах, фрагмент попытается устанавливать и читать cookie таким образом, чтобы связать посетителей между этими свойствами. Это переходит в то, что EDPB называет «отслеживанием» в строгом смысле, и является категорией наивысшего риска. Это также та, которую чаще всего отмечают при DPIA.

Маркетинговые интеграции

HubSpot может отправлять события в Google Ads, Meta, LinkedIn и другие рекламные сети через свои интеграции. Каждая из этих дальнейших передач несёт своё собственное требование согласия и, в ЕС, свою собственную оценку передачи данных.

Собственный баннер HubSpot против сторонней CMP

HubSpot поставляется со встроенным баннером согласия на cookie, который вы можете включить из Settings > Privacy & Consent. Он будет отображать настраиваемое уведомление, регистрировать запись согласия против контакта и уважать единственный opt-out для аналитики. Для очень малых организаций, работающих в юрисдикциях низкого риска, его может быть достаточно. Для любого, кто серьёзно относится к соответствию — или любого, кто запускает рекламу с поддержкой consent mode — его недостаточно.

Причины перейти на стороннюю CMP практические:

• Гранулярные категории. Собственный баннер не разделяет строго необходимые, функциональные, аналитические и маркетинговые cookie на отдельные переключатели, что является структурой, которую ожидают регуляторы.
• Поддержка IAB TCF и GPP. Если вы участвуете в программатик-рекламе, вам нужна сертифицированная Google CMP, которая выдаёт действительную TC-строку. Собственный баннер HubSpot этого не делает.
• Consent Mode v2. Google теперь требует сигналы согласия, доставляемые в формате v2 для трафика ЕЭЗ. Выделенная CMP подключает это от начала до конца, включая конфигурацию default-deny.
• Многоязычность и доступность. Большинство CMP поставляются с 30+ языковыми пакетами и WCAG-совместимыми настройками по умолчанию. Встроенный баннер HubSpot более ограничен.
• Логирование уровня аудита. Выделенная CMP записывает каждое решение о согласии с временной меткой, версией баннера и выбором — доказательство, которое регуляторы запрашивают в расследованиях.

Пошаговая интеграция со сторонней CMP

Шаблон интеграции, который работает надёжно, — это оставить фрагмент HubSpot на странице, но предотвратить его выполнение до записи решения о согласии. Ниже канонический подход, написанный обобщённо, так что он применяется к любой современной CMP, включая FlexyConsent.

1. Удалите фрагмент по умолчанию из заголовка документа

В шаблоне вашего сайта удалите встроенный тег <script>, который загружает hs-scripts.com/{hub_id}.js. Замените его заполнителем, который ваша CMP может активировать позже, обычно установив атрибут type в text/plain и добавив атрибут данных категории, такой как data-category="marketing".

2. Сопоставьте HubSpot с правильной категорией согласия

Большинство CMP используют IAB TCF или модель из четырёх блоков: необходимые, функциональные, аналитические, маркетинговые. Скрипт отслеживания HubSpot касается как аналитической, так и маркетинговой категорий из-за интеграции с CRM. Консервативное сопоставление — закрыть весь фрагмент за маркетинговой категорией, которая является самым ограничительным блоком. Если ваша CMP позволяет тонкое сопоставление, вы можете разделить: загружать формы под функциональной, загружать аналитические события под аналитической, и загружать сшивание идентичности CRM под маркетинговой.

3. Настройте колбэк активации

Ваша CMP предоставляет событие или колбэк, который срабатывает, когда пользователь даёт согласие на категорию. В этом колбэке перепишите атрибут type тега скрипта-заполнителя обратно в text/javascript и добавьте его в документ. Скрипт тогда загрузится и выполнится нормально. Для SPA зарегистрируйте колбэк на каждом изменении маршрута, чтобы вновь смонтированные страницы тоже получали активацию.

4. Подключите Consent Mode v2

Если вы используете Google Ads или GA4 наряду с HubSpot, вашей CMP нужно отправлять сигналы согласия v2 — ad_storage, analytics_storage, ad_user_data, ad_personalization — в dataLayer до срабатывания любого тега Google. Сам HubSpot не потребляет эти сигналы, но остальная часть вашего стека потребляет, и несоответствие между HubSpot и Google проявится в вашей отчётности как измеримый разрыв доходов.

5. Синхронизируйте состояние согласия в HubSpot CRM

Когда известный контакт обновляет своё согласие (например, повторно посещая баннер и отзывая маркетинговое согласие), вы должны отразить это в записи HubSpot, чтобы логика рабочего процесса перестала отправлять маркетинговые письма. API HubSpot предоставляет конечную точку communication-preferences, которая принимает обновления на уровне подписки. Большинство CMP можно настроить на вызов этой конечной точки из серверного хука.

Распространённые ловушки и как их избежать

Три ошибки интеграции составляют большинство выводов аудита, которые мы видим на стеках с большим количеством HubSpot.

Загрузка фрагмента слишком рано

Некоторые команды помещают тег HubSpot внутри менеджера тегов и предполагают, что менеджер тегов обрабатывает согласие. Google Tag Manager действительно уважает consent mode, но только для тегов, которые явно требуют предоставленного состояния. Если тег HubSpot настроен без этого требования, GTM сработает его независимо. Всегда устанавливайте поле Additional consent в теге, чтобы требовать маркетингового согласия перед срабатыванием.

Забывание скриптов форм

Формы HubSpot обслуживаются с отдельного домена (forms.hsforms.com) и могут быть встроены со своим собственным скриптом. Если вы закрываете основной фрагмент отслеживания, но оставляете скрипт формы загружающимся при начальном рендеринге, вы на самом деле не решили проблему — библиотека форм устанавливает свои собственные идентифицирующие cookie. Закройте оба, и пусть CMP загружает их вместе.

Трактовка opt-out как opt-in

Собственные настройки HubSpot включают опцию Do Not Track и opt-out в один клик. Некоторые команды интерпретируют их как достаточный механизм для соответствия GDPR. Это не так — GDPR требует утвердительного opt-in для неосновных cookie, и флажок opt-out, похороненный на странице конфиденциальности, не соответствует этой планке. Сделайте CMP авторитетным источником состояния согласия и настройте HubSpot полагаться на неё.

Готовая к аудиту документация

После того как техническая интеграция на месте, последний шаг — убедиться, что ваш след доказательств может выдержать запрос регулятора. Как минимум, ведите запись: категорий, с которыми ваша CMP сопоставляет HubSpot, версии баннера согласия, действующей на любую данную дату, образцов TC-строк, показывающих действительное согласие, и логов API, которые доказывают, что HubSpot не сделал ни одного вызова отслеживания до предоставления согласия. Большинство мер по правоприменению буксуют не на технологии, а на документации — организации, которые могут предоставить чёткий бумажный след, обычно разрешают расследования гораздо быстрее, чем те, которые не могут. Платформа управления согласием, которая экспортирует эти артефакты по требованию, превращает аудит из многонедельной суматохи в ответ за один день.