Prečo Amplitude vyžaduje súhlas

Predvolený Amplitude Browser SDK a mobilné SDK Amplitude robia oveľa viac než len zaznamenávanie zobrazení stránok. Pri inicializácii nastavia identifikátor zariadenia v úložisku prvej strany, vygenerujú identifikátor relácie, zachytia referrer, analyzujú identifikátory UTM a kliknutí z URL a začnú zaraďovať do frontu automaticky zachytené udalosti: zobrazenia stránok, kliknutia na prvky, interakcie s formulármi, sťahovania súborov a — v najnovších vydaniach — prehrávanie relácií. Tieto udalosti tiež obohatia o geolokáciu odvodenú z IP, údaje o zariadení odvodené od používateľského agenta a, ak je to nakonfigurované, obohatenie tretích strán od dátových partnerov.

Každý z týchto krokov zapája samostatný právny základ súhlasu. Uchovávanie identifikátora zariadenia je operácia ukladania a prístupu podľa článku 5 ods. 3 smernice ePrivacy, ktorá vyžaduje predchádzajúci, slobodne daný, konkrétny, informovaný a jednoznačný súhlas v Európskom hospodárskom priestore, Spojenom kráľovstve a v každej jurisdikcii, ktorá prevzala rovnaký štandard. Zachytávanie behaviorálnych udalostí spojených s týmto identifikátorom je spracúvanie osobných údajov podľa GDPR. Obohatenie o údaje tretích strán zavádza druhý vzťah prevádzkovateľa. CCPA a CPRA klasifikujú rovnaké spracovanie ako predaj alebo zdieľanie, pokiaľ vydavateľ nemá riadne vymedzenú zmluvu s poskytovateľom služieb s Amplitude — ktorá je dostupná, ale len ak je integrácia nakonfigurovaná na zakázanie reklamných funkcií.

Čo Amplitude zbiera pred súhlasom — a čo musíte potlačiť

Najčastejšou chybou implementácie je zaobchádzanie s Amplitude ako s ľahkým analytickým nástrojom, ktorý môže bežať vedľa cookie bannera. Nemôže. Pri predvolenom volaní amplitude.init() SDK pri prvom vykreslení stránky zapíše aspoň jeden záznam cookie alebo lokálneho úložiska, odošle volanie identify a začne vyrovnávať udalosti. Nič z toho nie je prípustné pred tým, ako používateľ afirmatívne prijme príslušnú kategóriu súhlasu.

Kompatibilná integrácia preto musí odložiť amplitude.init() až do chvíle, keď CMP signalizoval, že kategória súhlasu s analytikou bola udelená. SDK by nemal byť vôbec načítaný zo značky <script> chránenej súhlasom, ktorá závisí od signálu účelu 8 (analytika) alebo účelu 1 (ukladanie a prístup) CMP, v závislosti od toho, ktorý rámec CMP vystavuje. Ak musí byť SDK načítaný skôr — napríklad preto, že je zahrnutý v kóde aplikácie a nemôže byť lenivy načítaný — inicializačné volanie by malo odovzdať defaultTracking: false a optOut: true, aby sa nezobrazili žiadne udalosti, kým sa nezaznamená súhlas, a potom odložená udalosť opt-in by mala otočiť tieto príznaky.

Cookies a úložisko, ktoré Amplitude zapisuje

Browser SDK 2.x predvolene zapisuje jeden súbor cookie prvej strany s názvom AMP_{apiKey}, s dobou platnosti jeden rok, obsahujúci identifikátor zariadenia a metadáta relácie. Staršie verzie tiež zapísali amplitude_id_{apiKey}. Mobilné SDK uchovávajú rovnaký identifikátor vo vnútri sandboxového úložiska aplikácie. Prehrávanie relácií pridáva druhý súbor cookie, AMP_MKTG_{apiKey}, a partneri obohacovania Amplitude môžu nastaviť ďalšie súbory cookie tretích strán, ak sú povolené moduly cielenia experimentov alebo publík. Všetky tieto sú nepodstatné a vyžadujú súhlas.

Mapovanie Amplitude na rámce súhlasov

Amplitude natívne neimplementuje Google Consent Mode v2, IAB TCF ani IAB Global Privacy Platform. To nie je nedostatok — Amplitude je platforma analytiky prvej strany, nie predajca reklamných technológií — ale znamená to, že zodpovednosť za integráciu spočíva na vydavateľovi. Vzorec, ktorý funguje v praxi, je zaobchádzať s každým modulom Amplitude ako so samostatnou bránou súhlasov a previazať ho s konkrétnym signálom, ktorý CMP už vystavuje.

• Základné analytické udalosti sú previazané s analytickým účelom. V pojmoch TCF je to najčastejšie účel 8 (meranie výkonu obsahu) kombinovaný s účelom 1 (uchovávanie a/alebo prístup k informáciám). Pre Google Consent Mode to zodpovedá analytics_storage.
• Prehrávanie relácií by malo byť za prísnejším signálom. Prehrávanie zachytáva vykreslený DOM, vrátane hodnôt formulárov, pokiaľ nie sú explicitne maskované, takže samostatné prihlásenie pre preferences alebo functional je vhodné, a prehrávanie by malo byť predvolene vypnuté aj vtedy, keď je udelená analytika.
• Publikum, kohorty a obohatenie tretích strán sú previazané s marketingovým účelom. V pojmoch TCF je to účel 7 (meranie výkonu reklám) alebo účel 9 (uplatňovanie prieskumu trhu). Pre Google Consent Mode to zodpovedá ad_storage a ad_user_data.
• Experimentovanie — Amplitude Experiment môže bežať s anonymným, dočasným prideľovaním na základe oprávneného záujmu, ale trvalé prideľovanie viazané na identifikátor používateľa vyžaduje rovnaký súhlas ako základná analytika.

Integračný vzorec, ktorý funguje

Referenčná implementácia, ktorá prežije kontrolu regulátora, má štyri pohyblivé časti: CMP, ktorý vystavuje udalosť v reálnom čase, keď používateľ zmení súhlas, odložený zavádzač SDK, ktorý načíta Amplitude iba po tom, ako sa táto udalosť spustí pre príslušnú kategóriu, ochranu na úrovni relácie, ktorá rešpektuje odhlásenie bez straty predchádzajúceho anonymného identifikátora zariadenia používateľa, kde to zákon dovoľuje, a most na strane servera pre udalosti, ktoré skutočne vyžadujú zber bez ohľadu na súhlas — ako napríklad bezpečnostná telemetria alebo detekcia podvodov — smerované cez samostatný koncový bod s vlastným právnym základom.

Webová implementácia

Na webe je najčistejší vzorec vystaviť stav súhlasu CMP cez objekt window.__cmp_consent alebo štandardné spätné volanie __tcfapi, potom mať malý bootstrap skript, ktorý sa prihlásuje na odber zmien súhlasu. Keď sa analytický súhlas prepne z false na true, bootstrap načíta SDK Amplitude z CDN spravovaného CMP, zavolá amplitude.init(apiKey, undefined, { defaultTracking: true }) a prehráva všetky udalosti, ktoré boli zaradené do frontu v pamäti, kým bol súhlas čakajúci. Keď sa súhlas prepne späť na false, bootstrap zavolá amplitude.setOptOut(true), vymaže cookie AMP_ prostredníctvom vypršania platnosti document.cookie a odstráni akýkoľvek stav v pamäti. Kriticky, bootstrap nikdy nesmie lenivy inicializovať Amplitude v rovnakom toku požiadaviek ako vykreslenie bannera — SDK musí čakať na explicitné udelenie.

Mobilná implementácia

Na iOS je ekvivalentom zachovanie importovaného rámca Amplitude, ale odloženie Amplitude.instance().initialize(apiKey: apiKey) až do chvíle, keď tok súhlasu v aplikácii vrátil pozitívny analytický signál. Výzva ATT je samostatnou záležitosťou: ATT riadi IDFA, zatiaľ čo identifikátor Amplitude je vlastné UUID SDK uložené v sandboxe aplikácie. Oba vyžadujú súhlas v EHP, ale právne základy a výzvy sú odlišné. Na Androide platí rovnaká logika s Amplitude.getInstance().initializeApolloClient() alebo ekvivalentom v závislosti od verzie SDK.

Serverový režim

Amplitude podporuje príjem na strane servera prostredníctvom HTTP V2 API. Udalosti na strane servera nie sú oslobodené od súhlasu — právny základ sleduje dáta, nie transport — ale príjem na strane servera dáva vydavateľovi plnú kontrolu nad tým, ktoré polia sú odosielané, čo uľahčuje dodržiavanie čiastočného súhlasu. Bežným vzorom je zaznamenávanie minimálnej, len-podstatnej sady udalostí na strane servera pod oprávneným záujmom a obohatenie týchto udalostí o behaviorálne podrobnosti až po tom, ako používateľ udelil analytický súhlas na strane klienta.

Overenie integrácie

Krok overenia je ten, ktorý vydavatelia najčastejšie vynechávajú a regulátori najčastejšie kontrolujú. Správne integrované nasadenie Amplitude by malo prejsť štyrmi kontrolami. Po prvé, prehliadač so zobrazeným bannerom súhlasu, ale bez vykonanej voľby, by mal produkovať nula požiadaviek na api.amplitude.com alebo api.eu.amplitude.com a nula súborov cookie AMP_ v document.cookie. Po druhé, odmietnutie analytickej kategórie by malo zachovať tento stav — žiadne udalosti, žiadne súbory cookie, žiadne záznamy lokálneho úložiska s predponou AMP_. Po tretie, prijatie analytiky by malo produkovať jeden identify nasledovaný prevádzkou udalostí, a súbor cookie AMP_ by sa mal objaviť s atribútom SameSite konzistentným s politikou CMP vydavateľa. Po štvrté, odvolanie súhlasu po skutočnosti by malo okamžite zastaviť ďalšie udalosti a vymazať uložené identifikátory — oneskorené čistenie je nálezom.

Auditná stopa je dôležitá samostatne. Podľa pokynov EDPB k bannerom cookies z roku 2023 a obnovených priorít pracovnej skupiny na rok 2026 regulátori očakávajú, že vydavateľ bude schopný preukázať, pre akúkoľvek danú udalosť v projekte Amplitude, že používateľ, ktorý ju vygeneroval, udelil platný súhlas v čase zachytenia. To si vyžaduje, aby denník súhlasov CMP bol dotazovateľný podľa identifikátora zariadenia alebo identifikátora relácie, a aby nesenie udalosti Amplitude obsahovalo pole verzie súhlasu, ktoré sa viaže späť k tomuto denníku. Uchovávanie reťazca súhlasov ako vlastnej vlastnosti používateľa pri každej udalosti je najjednoduchší spôsob, ako urobiť toto prepojenie auditovateľným.

Výber správneho regiónu a rezidencie dát

Amplitude prevádzkuje dva produkčné regióny: USA (api.amplitude.com) a EÚ (api.eu.amplitude.com). Pre prevádzku EHP a Spojeného kráľovstva je región EÚ správnou predvolenou hodnotou — uchováva dáta vo vnútri EHP a znižuje povrch rizika prenosu, ktorý rozhodnutie Schrems II a Rámec ochrany súkromia údajov EÚ-USA urobili ústredným pre akýkoľvek analytický prehľad. Prepínanie regiónov nie je retroaktívne: existujúce dáta zostávajú tam, kde boli prvýkrát prijaté. Pre vydavateľov plánujúcich nasadenie CMP sa preto oplatí potvrdiť región pred škálovaním a oplatí sa zdokumentovať výber v oznámení o ochrane súkromia, aby reťazec právneho základu bol čistý od zberu po ukladanie. Správne zvolený región, v spojení so správne ohradzeným SDK a dotazovateľným denníkom súhlasov, je to, čo mení nasadenie Amplitude z regulačného rizika na obhájiteľnú súčasť analytického zásobníka.