A reprodução de sessões é a coisa mais invasiva que um sítio comum faz aos visitantes dele, e a questão do consentimento à volta dela é mais interessante do que a de os contar. Aplicam-se duas regras separadas, a maior parte das ferramentas não satisfaz nenhuma delas de origem, e satisfazer a primeira não te livra da segunda.
Isto é como as regras funcionam na prática, não é aconselhamento jurídico. Se as tuas páginas mostram dados de saúde, financeiros ou de crianças, pergunta a alguém qualificado.
Duas questões, não uma
Guarda alguma coisa no dispositivo do visitante? É o artigo 5.º, n.º 3, da Diretiva ePrivacy (em Portugal, o artigo 5.º da Lei n.º 41/2004, aplicado pela CNPD) e é a questão a que um aviso de cookies responde. É sobre o ato de escrever na máquina de alguém ou ler dela, seja qual for a tecnologia: um cookie, o localStorage, ou uma impressão digital.
O que é capturado são dados pessoais, e qual é o teu fundamento de licitude? É o RGPD, e aplica-se quer se tenha guardado alguma coisa quer não. Uma reprodução de alguém a preencher um formulário, a mexer um rato e a percorrer o próprio histórico de encomendas são dados pessoais sobre essa pessoa em qualquer leitura. Portanto uma ferramenta pode ser genuinamente livre de armazenamento e continuar a precisar de um fundamento de licitude para a própria gravação.
A maior parte da discussão sobre isto cobre apenas a primeira questão, porque a primeira é a que tem um aviso agarrado.
A primeira questão - o que a gravação costuma guardar
Para coser várias páginas vistas numa reprodução, uma ferramenta tem de reconhecer o mesmo navegador ao longo dessas páginas vistas. A maneira habitual é um identificador num cookie ou no localStorage, o que é armazenamento no dispositivo e precisa de consentimento no EEE e no Reino Unido.
Não tem de ser assim. O identificador pode ser derivado no servidor a partir do que o pedido já transporta, e rodado para não conseguir sobreviver ao dia, o mesmo mecanismo da analítica sem cookies. Uma reprodução montada dessa maneira nunca toca na máquina do visitante, e o artigo 5.º, n.º 3, não tem em que morder.
O que isso custa é real e vale a pena ser dito: as gravações não se conseguem juntar de um dia para o outro, portanto "mostra-me tudo o que esta pessoa fez na semana passada" não é uma pergunta a que essa ferramenta responda. Para descobrir por onde um processo de compra perde gente, não interessa. Para seguir o histórico inteiro de um cliente com nome, interessa.
A segunda questão - um fundamento de licitude, seja lá o que tenhas guardado
A gravação continua a tratar dados pessoais, portanto ao abrigo do RGPD precisas de um fundamento para ela. Na prática isso é ou o consentimento ou o interesse legítimo, e o interesse legítimo quer dizer fazer e guardar um teste de ponderação, ou seja escrever por que razão o teu interesse em melhorar a página pesa mais do que o interesse do visitante em não ser filmado a usá-la.
Essa avaliação fica mais difícil quanto mais a reprodução capturar, e é por isso que o que uma ferramenta grava de origem importa mais do que o aviso:
- Os campos de formulário. Uma reprodução que captura o que se escreve captura palavras-passe, números de cartão, respostas médicas e tudo o mais que alguém escreva. Não há teste de ponderação que sobreviva a isso. Qualquer ferramenta que valha a pena usar mascara o conteúdo dos campos e não o oferece como opção.
- As palavras na página. Coisa separada do que as pessoas escrevem, e mais facilmente esquecida. Uma página de conta, uma confirmação de encomenda ou um processo clínico mostram dados pessoais ao visitante, e uma reprodução que tos mostre a ti é uma cópia desses dados noutro sistema.
- Categorias especiais. Saúde, religião, orientação sexual, filiação sindical. Se uma página pode mostrar alguma destas, a reprodução dessa página precisa de outra conversa, e normalmente precisa de ser desligada para essa página.
O que verificar na ferramenta que usares
- Os campos de formulário são mascarados, e isso pode ser desligado? A resposta certa à segunda metade é não.
- O texto da página é capturado, e isso é decisão tua? Uma ferramenta que decide por ti tomou uma decisão jurídica em teu nome.
- Consegues excluir uma página ou um elemento? Vais precisar disso para pelo menos uma página.
- Guarda um identificador no dispositivo? Se guardar, o aviso não é opcional.
- Respeita o Global Privacy Control? O GPC é uma recusa juridicamente reconhecida em vários estados dos EUA, e chega como um cabeçalho de pedido quer a tua ferramenta o leia quer não.
- Durante quanto tempo as gravações são guardadas, e consegues apagar uma?
Como a Skomi responde a isso
O conteúdo dos campos de formulário nunca é gravado, em configuração nenhuma. Isso não é um valor de origem na gravação de sessão da Skomi; não há definição nenhuma para isso, em modo nenhum.
Quanto texto da página é capturado é uma escolha por sítio, e há três respostas. O "Strict" não captura texto nenhum, portanto uma reprodução mostra disposição, estrutura e interação sem palavras. O "Balanced" mascara o que parecer dados pessoais: números e tudo o que se assemelhe a um endereço de email. O "Relaxed" captura o texto da página e é o de origem, com o argumento de que uma reprodução sem palavras nenhumas é muito difícil de aproveitar. Um sítio cujas páginas mostram dados pessoais quer um dos dois primeiros, e essa é uma decisão que só o dono do sítio pode tomar.
Tudo pode ser excluído. Um atributo data-skomi-mask mascara uma região e o data-skomi-unmask isenta uma dentro dela, a classe skomi-block impede que um elemento seja capturado de todo, e um sítio pode listar seletores CSS que nunca são gravados.
O Global Privacy Control é respeitado por sítio, e está desligado até tu o ligares. Quando está ligado, um pedido que traga Sec-GPC: 1 é respondido com nada gravado, verificado no servidor, portanto funciona em todos os navegadores independentemente do que a página tenha em cache. Aplica-se apenas às gravações e aos mapas de calor: a metade da analítica não guarda endereço nenhum nem identificador entre sítios, o que a torna um mau encaixe para um sinal dirigido ao seguimento entre contextos.
Não fica nada guardado no dispositivo do visitante de origem, portanto na definição de origem a primeira questão acima nem se põe. A segunda põe-se na mesma: continuas a precisar de um fundamento para gravar, e esse é teu e não nosso.
As gravações expiram antes de tudo o resto. A janela faz parte do teu plano e é o mais curto dos três períodos de conservação que a Skomi tem.
Os mapas de calor são a mesma questão, mais pequena
Um mapa de calor é construído a partir da mesma recolha (cliques, movimento e profundidade de deslocamento contra uma página), portanto a questão do armazenamento é idêntica. O que difere é a segunda questão: um agregado de onde mil pessoas clicaram é muito mais fácil de justificar do que um vídeo de uma delas, e um mapa de calor construído sem armazenamento no dispositivo e sem texto de página é quase o mais discreto que a medição de comportamento consegue ser.
Se estás a pesar se hás de correr reprodução de todo, essa diferença é a útil: quando precisas de gravações de sessão e quando não precisas.
O Behavior é onde as duas coisas correm na Skomi, com o mascaramento aplicado aos campos de origem em vez de ser uma definição de que te tens de lembrar. Se estás a pesar ferramentas exatamente neste ponto, o Microsoft Clarity documenta um requisito de consentimento próprio para visitantes da UE, e o que acontece sem ele.