Modos de privacidade e GDPR no rastreamento de links

Toda conversa sobre privacidade em rastreamento de links chega, mais cedo ou mais tarde, à mesma pergunta vinda de um cliente: o que exatamente vocês sabem sobre as pessoas que clicam nos nossos links? A resposta costuma ser improvisada, e é por isso que ela costuma errar para um lado ou para o outro — tranquilizadora além do que o sistema garante, ou vaga o bastante para soar evasiva.

Este artigo é o material para uma resposta melhor: o que um evento de clique contém, por que o nível de detalhe é decidido na gravação em vez de ser filtrado para fora de um relatório, o que acontece com o endereço de rede, como a retenção funciona de fato, o que o consentimento cobre e a papelada que o revisor de conformidade de um cliente vai pedir. Não é aconselhamento jurídico — as obrigações dependem da sua jurisdição, do seu público e do que você faz com os dados depois.

O que um clique registra

No momento do redirecionamento, antes de qualquer página ter carregado, o motor enxerga uma requisição. A partir dela o evento pode registrar o instante do clique, o link e o domínio, o destino, uma localização aproximada derivada do endereço de rede, o tipo de dispositivo, o navegador e o sistema operacional extraídos do user agent, o domínio de origem quando algum é enviado, o idioma do navegador e quaisquer parâmetros de campanha presentes na URL.

Onde o espaço de trabalho habilitou a camada detalhada, o mesmo evento também pode carregar região e cidade com os seus identificadores GeoNames, coordenadas e um raio de precisão, o fuso horário e a hora local do visitante, o número do sistema autônomo e o nome do provedor, e um veredito de tipo de tráfego com uma pontuação de qualidade. Para que serve essa camada está na documentação de regras de tráfego.

Duas coisas estão deliberadamente ausentes. O código postal é resolvido pelo banco de dados geográfico e depois não é registrado, porque em área de moradia densa um código postal chega perto de um endereço. E o próprio endereço de rede nunca é escrito, o que tem uma seção só sua mais abaixo.

O que o evento não contém importa igualmente. Ele não identifica uma pessoa, não diz se a página de destino carregou nem se veio uma compra depois, e não carrega nenhum identificador entre sites. Tudo além disso exige uma segunda fonte de dados do lado do destino, como descreve o nosso guia sobre rastrear cliques em links.

Duas maneiras bem diferentes de limitar dados

Confundir essas duas é o erro mais caro desta área, e os fornecedores raramente as separam.

Um plano limita até que ponto do passado um espaço de trabalho pode olhar. As linhas continuam existindo; um plano maior mostra mais delas. Esse é um limite comercial, reversível ao mudar de plano. Um modo de privacidade limita o que chega a ser escrito: o que ele desliga nunca chega ao armazenamento, então nenhum relatório, nenhuma exportação, nenhum chamado no suporte e nenhuma consulta futura consegue trazer isso de volta — e nem uma mudança de ideia.

| | Retenção do plano | Modo de privacidade | | --- | --- | --- | | O que ele controla | Até que ponto do passado você pode olhar | O que chega a ser registrado | | Onde ele vale | Na leitura | Na gravação | | Reversível | Sim, mudando de plano | Não, para as linhas já gravadas | | Quem muda | Quem cuida da cobrança | Dono do espaço de trabalho ou administrador |

Os dois valem ao mesmo tempo, e é essa a parte que as pessoas deixam passar. Um espaço de trabalho num plano com dois anos de profundidade de consulta que definiu a própria retenção em 30 dias fica com 30 dias.

O detalhe é escolhido na gravação

A configuração fica em Configurações → Dados do visitante e privacidade: três níveis de localização mais três chaves independentes.

| Nível | O que o evento carrega | | --- | --- | | Completo | País, continente, região, cidade, identificadores GeoNames, coordenadas, raio de precisão, fuso horário, hora local | | Cidade sem coordenadas | Tudo o que está acima, menos as coordenadas e o raio de precisão | | Somente país | País e continente |

Em somente país o banco de dados geográfico nem chega a ser consultado para o evento — país e continente já chegam da CDN sem custo. A configuração remove trabalho além de remover dados, então a escolha mais protetiva da privacidade também é a mais barata de rodar.

As chaves são mais estreitas. Guardar a rede do visitante controla o número do sistema autônomo e o nome do provedor; desligada, o detalhamento Redes fica vazio. Guardar o endereço de origem completo controla apenas o caminho e a query string da página de origem — o domínio de origem é sempre mantido, porque é sobre ele que o relatório de Origens é construído. Detectar o tipo de tráfego desliga as próprias verificações, e não meramente os campos: nada de consultas de faixa, nada de DNS reverso, nada de contadores de comportamento.

Um botão aplica a combinação pensada para jurisdições com exigências restritas: somente país, rede não guardada, endereço de origem completo não guardado, detecção do tipo de tráfego desligada, retenção de 30 dias. O que sobrevive é a camada agregada — país, dispositivo, navegador, sistema operacional, domínio de origem, tags de campanha e a impressão digital diária do visitante. Esta última é mantida de propósito: sem ela a própria noção de visitante único desaparece, junto com todo agregado construído sobre ela.

Duas consequências cortam dos dois lados. Salvar reescreve a configuração em cache de todos os links e de todas as páginas de link na bio publicadas do espaço de trabalho, então o próximo clique já é registrado no modo novo, e não na próxima expiração do cache — “desliguei as coordenadas e elas foram coletadas por mais um dia” não é uma resposta aceitável para uma configuração cujo propósito é não coletar. E a mudança não é retroativa: as linhas já gravadas mantêm aquilo com que foram gravadas. A filtragem não é afetada de nenhum dos lados: uma regra de tráfego que roteia por cidade continua roteando por cidade quando a cidade não é registrada, porque as regras decidem para onde um visitante vai, não o que é guardado sobre ele.

O endereço: truncar, ou não guardar

A abordagem comum do setor é o truncamento — zerar o último octeto de um endereço IPv4, ou um prefixo mais largo no IPv6 — e ela é melhor do que guardar a coisa inteira. Ela também é mais fraca do que parece: um endereço truncado ainda identifica uma rede de tamanho limitado, ainda estreita bastante um visitante de cidade pequena e pode ser combinado com os outros campos da mesma linha. O truncamento reduz a resolução; ele não remove o campo do sistema.

A alternativa é não guardá-lo. Aqui o endereço vive dentro de uma única função pelo tempo necessário para fazer exatamente duas coisas, e depois é descartado. O hash é de mão única, sobre o endereço, o user agent, o domínio do link e um sal secreto rotacionado todo dia à meia-noite UTC, com o sal anterior descartado.

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

Daí seguem duas consequências honestas, e as duas cabem na conversa com o cliente, e não numa nota de rodapé.

Primeiro, a métrica é de visitantes únicos por dia. Como o sal é rotacionado toda noite, a mesma pessoa é um hash diferente amanhã, então um número mensal é a soma dos únicos de cada dia, e não uma contagem de pessoas distintas. Qualquer fornecedor que relate únicos mensais exatos sem cookies ou está persistindo um identificador por mais tempo do que admite, ou está estimando.

Segundo, o endereço não pode ser produzido depois para ninguém — nem para você, nem para um chamado no suporte. É esse o ponto do projeto, e também uma limitação que vale conhecer antes de prometer a um cliente uma investigação que dependeria dele.

O princípio continua na fronteira de saída. A página pública de estatísticas de um link recebe da camada geográfica apenas país e cidade: nada de redes, nada de tipo de tráfego, nada de pontuação de qualidade, nada de coordenadas, o que é garantido por um teste sobre o corpo da resposta, e não pela convenção. O que cada detalhamento expõe está documentado em analytics geográfico e na página de geografia e qualidade do tráfego.

A retenção é uma configuração do espaço de trabalho

Deixe o campo de retenção vazio para o máximo da plataforma, de 730 dias, ou defina um número de dias.

O mecanismo importa mais do que o número. O valor viaja dentro de cada evento, e a expiração no armazenamento é expressa em função desse valor. Uma linha gravada sob uma configuração de 30 dias é apagada depois de 30 dias mesmo que o espaço de trabalho passe depois para 730, porque quem manda nela é a configuração vigente quando a linha foi gravada.

É isso que faz da retenção uma resposta utilizável, e não um consolo vago. “Guardamos 90 dias” é defensável se o 90 fica carimbado em cada linha no momento em que ela é gravada; não é, se descreve um filtro de relatório sobre linhas de fato mantidas por dois anos. Ao comparar plataformas, pergunte não qual é o período de retenção, mas onde ele é aplicado — e, à parte, qual é a profundidade de consulta do plano, já que esse limite também vale. Os dois estão descritos em dados do visitante e modos de privacidade.

O consentimento cobre os dados, não o redirecionamento

A confusão mais comum aqui é tratar o próprio redirecionamento como aquilo de que o consentimento trata. Um visitante que toca num link curto pediu para ser levado a algum lugar, e levá-lo até lá é o serviço. As perguntas sobre consentimento dizem respeito a outras duas coisas: o que é registrado sobre aquela visita e qualquer tecnologia guardada no aparelho do visitante que não seja estritamente necessária.

Esse enquadramento tem consequências práticas. Não existe cookie de medição entre sites, porque o hash diário substitui justamente o mecanismo sobre o qual a maioria dos regimes de consentimento foi escrita. Existe exatamente um cookie no caminho do redirecionamento — um marcador de primeira visita no seu próprio domínio de redirecionamento — e ele é gravado apenas quando alguma regra sua de fato pergunta se esta é a primeira visita ou uma visita recorrente. Então a resposta para “os seus links gravam cookies?” depende de uma configuração que você pode mostrar, e não de uma política genérica.

Os pixels de rastreamento são a exceção clara. Quando um espaço de trabalho prende um pixel de retargeting a um link, aquele pixel e tudo o que ele grava pertencem ao dono do pixel e ao terceiro, e não ao serviço de redirecionamento. O dono do link é o controlador daquele tratamento e é responsável por divulgá-lo e por obter qualquer consentimento exigido — uma agência que prende pixels em nome de um cliente deveria ter isso no contrato com o cliente, e não descobrir durante uma auditoria.

Os papéis importam pela mesma razão. Para os dados de clique, o espaço de trabalho ou o parceiro que criou o link é o controlador e a plataforma é o operador, então a base legal, o aviso de privacidade e qualquer consentimento são responsabilidade do dono do link. As agências que rodam links para clientes estão nessa posição com mais frequência do que esperam, o que o nosso guia de links com marca para agências cobre pelo lado comercial.

A papelada que um revisor vai pedir

Dois documentos fazem a maior parte do trabalho, e nenhum dos dois deveria ser improvisado.

Um Acordo de Tratamento de Dados rege o tratamento realizado em seu nome. Um revisor o lê procurando um conjunto específico de coisas: quem é controlador e quem é operador para cada categoria de dados, as categorias de titulares e de dados pessoais, as medidas de segurança, o prazo de notificação de incidente, o mecanismo de transferência para dados que saem do Espaço Econômico Europeu ou do Reino Unido, os direitos de auditoria e o que acontece com os dados no encerramento. O nosso DPA estabelece esses termos, incluindo um prazo de 72 horas para notificar um incidente, as Cláusulas Contratuais Padrão com o adendo do Reino Unido quando aplicável, um direito anual de auditoria mediante aviso e a exclusão em até 30 dias após o fim da janela de exportação.

Uma lista de suboperadores nomeia os terceiros que tratam dados em nome da plataforma, para que cada um serve e onde ele guarda dados. Ela faz parte do DPA, e não de uma página de marketing, e o que um revisor avalia é o mecanismo ao redor dela: pelo menos 30 dias de aviso antes de um suboperador ser acrescentado ou substituído, um direito documentado de se opor e a rescisão da parte afetada sem penalidade quando não existe alternativa razoável. A nossa lista de suboperadores publica os provedores atuais com finalidade e local dos dados; a descrição geral está na política de privacidade.

Se um fornecedor não consegue apresentar os dois documentos, ou apresenta uma lista de suboperadores sem nenhum mecanismo de aviso preso a ela, é esse o achado — e não a ausência de um selo de certificação.

Um checklist para a conversa com o cliente

1. Apresente a lista de campos do modo de fato em uso — não o máximo da plataforma, mas o que aquele espaço de trabalho está gravando hoje.
2. Informe a retenção em dias e onde ela é aplicada, distinguindo-a da profundidade de consulta do plano, e diga qual das duas vale hoje.
3. Responda à pergunta sobre o endereço em uma frase: guardado por inteiro, truncado ou não guardado — e, se não for guardado, explique o hash diário e a natureza diária dos visitantes únicos.
4. Liste os cookies do caminho do redirecionamento e o que faz cada um ser gravado. “Nenhum, a não ser que uma regra de primeira visita esteja configurada” vale mais que “apenas cookies essenciais”.
5. Separe o que você prende ao link do que a plataforma faz. Pixels, tags de terceiros e o analytics do lado do destino são tratamento seu, e não do redirecionador.
6. Entregue o DPA e a lista de suboperadores em vez de resumi-los, e registre o prazo de aviso para mudanças.
7. Ajuste o modo de privacidade ao nível mais restrito com que os seus relatórios conseguem conviver, e depois confira quais detalhamentos ficaram vazios — é assim que você descobre se uma configuração foi escolhida ou apenas herdada do padrão.

A parte incômoda deste assunto é que as decisões tomadas na gravação são permanentes nos dois sentidos. Os dados que você escolheu não coletar não são recuperáveis quando alguém depois pede um detalhamento por cidade, e os dados que você coletou não são descoletáveis quando alguém depois pergunta por que você os tem. Esse é um argumento para decidir de forma deliberada no começo de um contrato, em vez de herdar um padrão. Tudo o que está em analytics continua funcionando na ponta restrita da escala; o que muda é quanto do visitante, e não quanto da campanha, você consegue enxergar.