Công nghệNgày 15 tháng 6 năm 2026 | FlexyConsent

Hướng Dẫn Tích Hợp Đồng Ý Cookie HubSpot: Theo Dõi Tuân Thủ GDPR cho Nhà Tiếp Thị năm 2026

HubSpot là một trong những nền tảng tiếp thị được nhúng sâu nhất trên web hiện đại. Tập lệnh theo dõi của nó chạy trên hàng triệu trang B2B, ghi lại lượt xem trang, lượt gửi biểu mẫu, các phiên trò chuyện và hành vi ở cấp độ định danh chạy thẳng vào CRM của HubSpot. Vấn đề là, theo mặc định, tập lệnh đó bắt đầu thu thập dữ liệu cá nhân ngay khi trang tải — rất lâu trước khi bất kỳ khách truy cập nào có cơ hội đưa ra lựa chọn. Đối với bất kỳ tổ chức nào tiếp xúc với lưu lượng từ EU, UK, Brazil hoặc California, hành vi mặc định đó không còn tuân thủ nữa, và ngày càng trở thành loại vấn đề mà các cơ quan quản lý nêu trong các khiếu nại thực sự. Hướng dẫn này giải thích HubSpot thực sự theo dõi gì, ranh giới đồng ý nằm ở đâu và cách kết nối HubSpot với Nền tảng Quản lý Đồng ý bên thứ ba để phân tích tiếp thị tiếp tục hoạt động mà không mời phạt tiền.

Tại Sao Theo Dõi HubSpot Cần Tín Hiệu Đồng Ý Thực Sự

HubSpot đặt một số cookie bên thứ nhất trên thiết bị của khách truy cập ngay khi tập lệnh theo dõi (đoạn mã JavaScript HubSpot, thường là hs-scripts.com/{hub_id}.js) thực thi. Quan trọng nhất là __hstc, hubspotutk và __hssc, cùng nhau xác định khách truy cập qua các phiên, liên kết các lần gửi biểu mẫu với lịch sử duyệt web ẩn danh và cung cấp dữ liệu cho các mô hình chấm điểm khách hàng tiềm năng trong CRM. Theo GDPR và Chỉ thị ePrivacy, cả ba đều là cookie không cần thiết yêu cầu sự đồng ý trước được đưa ra tự do, cụ thể, đã được thông báo và rõ ràng. Tải đoạn mã vào phần đầu tài liệu — đây là mẫu tích hợp mặc định của HubSpot — đặt những cookie đó trước khi khách truy cập được hỏi bất cứ điều gì.

Hậu quả không phải là lý thuyết. Các cơ quan bảo vệ dữ liệu ở Pháp, Ý và Tây Ban Nha đều đã thực hiện các hành động cưỡng chế trong hai năm qua đối với các tổ chức có ngăn xếp tiếp thị đặt cookie theo dõi trước khi có sự đồng ý. Các khoản tiền phạt dao động từ hình phạt năm chữ số cho các nhà xuất bản nhỏ đến hình phạt hàng triệu euro cho các doanh nghiệp lớn. Banner cookie gốc của HubSpot tồn tại, nhưng nó nhẹ có chủ ý và tự nó không chặn đoạn mã khỏi việc kích hoạt. Hầu hết các nhà đánh giá tuân thủ coi nó là một lớp thông báo hơn là lớp kiểm soát.

HubSpot Thực Sự Theo Dõi Gì

Trước khi quyết định cách kiểm soát HubSpot, sẽ hữu ích khi chính xác về các danh mục xử lý nào đang có liên quan. Bề mặt theo dõi của HubSpot phân chia thành bốn nhóm chồng chéo, mỗi nhóm có hệ quả đồng ý riêng.

Phân tích hành vi

Các sự kiện xem trang, nhấp chuột, cuộn và thời lượng phiên được thu thập tự động khi mã theo dõi tải. Những sự kiện này xây dựng dòng thời gian khách truy cập mà bạn thấy bên trong hồ sơ liên hệ của HubSpot và là nền tảng của mọi quy tắc chấm điểm khách hàng tiềm năng hoặc quy tắc quy trình công việc. Từ góc độ của cơ quan quản lý, đây là theo dõi phân tích đơn giản và yêu cầu sự đồng ý opt-in ở EU và EEA. Tại UK, hướng dẫn 2023 của ICO xử lý nó giống nhau.

Biểu mẫu và trò chuyện

Các biểu mẫu HubSpot và tiện ích trò chuyện HubSpot (trước đây là tích hợp Drift) có thể được cấu hình để tải độc lập với tập lệnh theo dõi chính. Các lần gửi biểu mẫu trong hầu hết các phân tích pháp lý được coi là hoạt động xử lý riêng biệt với cơ sở pháp lý của chính nó — thường là thực hiện hợp đồng hoặc lợi ích hợp pháp. Tuy nhiên, trò chuyện ghi lại bản ghi âm trên máy chủ bên thứ ba thường yêu cầu sự đồng ý cho chính việc ghi âm đó.

Ghép nối danh tính giữa các tên miền

Nếu bạn sử dụng cùng một cổng HubSpot trên nhiều tên miền, đoạn mã sẽ cố gắng đặt và đọc cookie theo cách liên kết khách truy cập qua các thuộc tính đó. Điều này đi vào những gì EDPB gọi là "theo dõi" theo nghĩa chặt chẽ và là danh mục rủi ro cao nhất. Đây cũng là danh mục có khả năng bị gắn cờ trong DPIA nhất.

Tích hợp tiếp thị

HubSpot có thể đẩy các sự kiện tới Google Ads, Meta, LinkedIn và các mạng quảng cáo khác qua các tích hợp của nó. Mỗi lần chuyển tiếp đó mang theo yêu cầu đồng ý riêng và, tại EU, đánh giá chuyển giao dữ liệu riêng.

Banner HubSpot Gốc vs. CMP Bên Thứ Ba

HubSpot đi kèm với banner đồng ý cookie tích hợp mà bạn có thể bật từ Cài đặt > Quyền riêng tư & Đồng ý. Nó sẽ hiển thị thông báo có thể cấu hình, ghi lại bản ghi đồng ý đối với liên hệ và tôn trọng một lần từ chối cho phân tích. Đối với các tổ chức rất nhỏ hoạt động ở các khu vực quyền tài phán có rủi ro thấp, điều đó có thể là đủ. Đối với bất kỳ ai nghiêm túc về tuân thủ — hoặc bất kỳ ai chạy quảng cáo nhận biết chế độ đồng ý — thì không đủ.

Các lý do để chuyển sang CMP bên thứ ba là thực tế:

Tích Hợp Từng Bước với CMP Bên Thứ Ba

Mẫu tích hợp hoạt động đáng tin cậy là giữ đoạn mã HubSpot trên trang nhưng ngăn nó thực thi cho đến khi quyết định đồng ý được ghi lại. Dưới đây là cách tiếp cận chuẩn, được viết một cách tổng quát để áp dụng cho bất kỳ CMP hiện đại nào bao gồm FlexyConsent.

1. Xóa đoạn mã mặc định khỏi phần đầu tài liệu

Trong mẫu trang web của bạn, xóa thẻ <script> nội tuyến tải hs-scripts.com/{hub_id}.js. Thay thế bằng một trình giữ chỗ mà CMP của bạn có thể kích hoạt sau, thường bằng cách đặt thuộc tính type thành text/plain và thêm thuộc tính dữ liệu danh mục như data-category="marketing".

2. Ánh xạ HubSpot sang danh mục đồng ý chính xác

Hầu hết các CMP sử dụng IAB TCF hoặc mô hình bốn nhóm: cần thiết, chức năng, phân tích, tiếp thị. Tập lệnh theo dõi của HubSpot liên quan đến cả danh mục phân tích và tiếp thị do tích hợp CRM. Ánh xạ thận trọng là đặt toàn bộ đoạn mã phía sau danh mục tiếp thị, đây là nhóm hạn chế nhất. Nếu CMP của bạn cho phép ánh xạ chi tiết, bạn có thể chia tách: tải biểu mẫu trong phần chức năng, tải các sự kiện phân tích trong phần phân tích và tải ghép nối danh tính CRM trong phần tiếp thị.

3. Cấu hình callback kích hoạt

CMP của bạn hiển thị một sự kiện hoặc callback được kích hoạt khi người dùng cấp đồng ý cho một danh mục. Trong callback đó, hãy viết lại thuộc tính type của thẻ tập lệnh trình giữ chỗ trở lại text/javascript và thêm nó vào tài liệu. Sau đó tập lệnh sẽ tải và thực thi bình thường. Đối với SPA, hãy đăng ký callback ở mỗi lần thay đổi tuyến đường để các trang mới được gắn kết cũng nhận được kích hoạt.

4. Kết nối Consent Mode v2

Nếu bạn sử dụng Google Ads hoặc GA4 cùng với HubSpot, CMP của bạn cần đẩy các tín hiệu đồng ý v2 — ad_storage, analytics_storage, ad_user_data, ad_personalization — vào dataLayer trước khi bất kỳ thẻ Google nào kích hoạt. Bản thân HubSpot không sử dụng các tín hiệu này, nhưng phần còn lại của ngăn xếp của bạn thì có, và sự không nhất quán giữa HubSpot và Google sẽ xuất hiện trong báo cáo của bạn như một khoảng cách doanh thu có thể đo lường được.

5. Đồng bộ trạng thái đồng ý với CRM của HubSpot

Khi một liên hệ đã biết cập nhật đồng ý của họ (ví dụ: bằng cách truy cập lại banner và thu hồi đồng ý tiếp thị), bạn nên phản ánh điều đó trong hồ sơ HubSpot để logic quy trình công việc ngừng gửi email tiếp thị. API HubSpot hiển thị điểm cuối communication-preferences chấp nhận cập nhật ở cấp độ đăng ký. Hầu hết các CMP có thể được cấu hình để gọi điểm cuối này từ hook phía máy chủ.

Những Lỗi Phổ Biến và Cách Tránh

Ba lỗi tích hợp chiếm phần lớn các phát hiện kiểm toán mà chúng tôi thấy trên các ngăn xếp nặng về HubSpot.

Tải đoạn mã quá sớm

Một số nhóm đặt thẻ HubSpot bên trong trình quản lý thẻ và giả sử trình quản lý thẻ xử lý đồng ý. Google Tag Manager tôn trọng chế độ đồng ý, nhưng chỉ đối với các thẻ yêu cầu rõ ràng trạng thái được cấp. Nếu thẻ HubSpot được cấu hình không có yêu cầu đó, GTM sẽ kích hoạt nó bất kể thế nào. Luôn đặt trường Đồng ý bổ sung trên thẻ để yêu cầu đồng ý tiếp thị trước khi kích hoạt.

Quên các tập lệnh biểu mẫu

Các biểu mẫu HubSpot được phục vụ từ một tên miền riêng (forms.hsforms.com) và có thể được nhúng với tập lệnh riêng của chúng. Nếu bạn kiểm soát đoạn mã theo dõi chính nhưng để tập lệnh biểu mẫu tải khi hiển thị ban đầu, bạn thực sự chưa giải quyết được vấn đề — thư viện biểu mẫu đặt cookie nhận dạng của chính nó. Hãy kiểm soát cả hai và để CMP tải chúng cùng nhau.

Coi từ chối là chấp nhận

Cài đặt gốc của HubSpot bao gồm tùy chọn Không theo dõi và từ chối một lần nhấp. Một số nhóm giải thích đây là cơ chế đủ để tuân thủ GDPR. Chúng không phải vậy — GDPR yêu cầu chấp nhận opt-in khẳng định đối với cookie không cần thiết, và hộp kiểm từ chối được chôn trong trang quyền riêng tư không đáp ứng tiêu chuẩn đó. Hãy làm cho CMP trở thành nguồn có thẩm quyền về trạng thái đồng ý và cấu hình HubSpot để tuân theo nó.

Tài Liệu Sẵn Sàng Cho Kiểm Toán

Sau khi tích hợp kỹ thuật được thực hiện, bước cuối cùng là đảm bảo đường mòn bằng chứng của bạn có thể chịu đựng được yêu cầu của cơ quan quản lý. Ít nhất, hãy lưu giữ hồ sơ về: các danh mục CMP của bạn ánh xạ HubSpot đến, phiên bản banner đồng ý đang hoạt động vào bất kỳ ngày nào, các chuỗi TC mẫu cho thấy đồng ý hợp lệ và nhật ký API chứng minh HubSpot không thực hiện bất kỳ cuộc gọi theo dõi nào trước khi đồng ý được cấp. Hầu hết các hành động cưỡng chế không bị chặn về công nghệ mà về tài liệu — các tổ chức có thể cung cấp đường mòn giấy tờ rõ ràng thường giải quyết các cuộc điều tra nhanh hơn nhiều so với những tổ chức không thể. Nền tảng quản lý đồng ý xuất các hiện vật này theo yêu cầu biến cuộc kiểm toán từ nhiều tuần vội vã thành phản hồi một buổi chiều.

← Blog Đọc tất cả →