A reprodução de sessões é a coisa mais invasiva que um sítio comum faz aos seus visitantes, e a questão do consentimento que levanta é mais interessante do que a de os contar. Aplicam-se duas regras separadas, a maior parte das ferramentas não cumpre nenhuma delas de origem, e cumprir a primeira não te dispensa da segunda.
É assim que as regras funcionam na prática; não é aconselhamento jurídico. Se as tuas páginas mostram dados de saúde, financeiros ou de crianças, consulta alguém qualificado.
Duas questões, não uma
Guarda alguma coisa no dispositivo do visitante? É o artigo 5.º, n.º 3, da Diretiva ePrivacy (em Portugal, o artigo 5.º da Lei n.º 41/2004, aplicado pela CNPD) e é a questão a que um aviso de cookies responde. Trata do ato de escrever no dispositivo de alguém ou de ler dele, seja qual for a tecnologia: um cookie, o localStorage, ou uma impressão digital.
O que é capturado são dados pessoais, e qual é o teu fundamento de licitude? É o RGPD, e aplica-se quer se tenha guardado alguma coisa quer não. Uma reprodução de alguém a preencher um formulário, a mexer o rato e a percorrer o próprio histórico de encomendas constitui dados pessoais sobre essa pessoa em qualquer leitura. Portanto uma ferramenta pode ser genuinamente livre de armazenamento e continuar a precisar de um fundamento de licitude para a própria gravação.
A maior parte da discussão sobre isto cobre apenas a primeira questão, porque é a que vem acompanhada de um aviso.
A primeira questão: o que a gravação costuma guardar
Para juntar várias páginas vistas numa só reprodução, uma ferramenta tem de reconhecer o mesmo navegador ao longo dessas páginas vistas. A maneira habitual é um identificador num cookie ou no localStorage, o que é armazenamento no dispositivo e precisa de consentimento no EEE e no Reino Unido.
Não tem de ser assim. O identificador pode ser derivado no servidor a partir do que o pedido já contém, e rodado para não sobreviver ao dia, com o mesmo mecanismo da analítica sem cookies. Uma reprodução montada dessa maneira nunca toca no dispositivo do visitante, e o artigo 5.º, n.º 3, não tem por onde pegar.
O custo é real e vale a pena dizê-lo: as gravações não se conseguem juntar de um dia para o outro, portanto "mostra-me tudo o que esta pessoa fez na semana passada" não é uma pergunta a que essa ferramenta responda. Para descobrir por onde um processo de compra perde gente, não interessa. Para seguir o histórico inteiro de um cliente concreto, interessa.
A segunda questão: um fundamento de licitude, seja o que for que tenhas guardado
A gravação continua a tratar dados pessoais, portanto ao abrigo do RGPD precisas de um fundamento para ela. Na prática isso é ou o consentimento ou o interesse legítimo, e o interesse legítimo quer dizer fazer e guardar um teste de ponderação, ou seja, pôr por escrito por que razão o teu interesse em melhorar a página pesa mais do que o interesse do visitante em não ser filmado a usá-la.
Essa avaliação fica mais difícil quanto mais a reprodução capturar, e é por isso que o que uma ferramenta grava de origem importa mais do que o aviso:
- Os campos de formulário. Uma reprodução que captura o que se escreve captura palavras-passe, números de cartão, respostas médicas e tudo o mais que alguém escreva. Não há teste de ponderação que sobreviva a isso. Qualquer ferramenta que valha a pena usar mascara o conteúdo dos campos e não o oferece como opção.
- As palavras na página. Coisa separada do que as pessoas escrevem, e mais facilmente esquecida. Uma página de conta, uma confirmação de encomenda ou um processo clínico mostram dados pessoais ao visitante, e uma reprodução que tos mostre a ti é uma cópia desses dados noutro sistema.
- Categorias especiais. Saúde, religião, orientação sexual, filiação sindical. Se uma página pode mostrar alguma destas, a reprodução dessa página exige uma análise à parte, e normalmente precisa de ser desligada para essa página.
O que verificar na ferramenta que usares
- Os campos de formulário são mascarados, e isso pode ser desligado? A resposta certa à segunda metade é não.
- O texto da página é capturado, e isso é decisão tua? Uma ferramenta que decide por ti tomou uma decisão jurídica em teu nome.
- Consegues excluir uma página ou um elemento? Vais precisar disso para pelo menos uma página.
- Guarda um identificador no dispositivo? Se guardar, o aviso não é opcional.
- Respeita o Global Privacy Control? O GPC é um sinal de oposição juridicamente reconhecido em vários estados dos EUA, e chega como um cabeçalho de pedido, quer a tua ferramenta o leia quer não.
- Durante quanto tempo as gravações são guardadas, e consegues apagar uma?
Como a Skomi responde a isso
O conteúdo dos campos de formulário nunca é gravado, em configuração nenhuma. Isso não é um valor de origem na gravação de sessão da Skomi; não há definição nenhuma para isso, em modo nenhum.
Quanto texto da página é capturado é uma escolha por sítio, e há três respostas. O "Strict" não captura texto nenhum, portanto uma reprodução mostra disposição, estrutura e interação sem palavras. O "Balanced" mascara o que parecer dados pessoais: números e tudo o que se assemelhe a um endereço de email. O "Relaxed" captura o texto da página e é o de origem, com o argumento de que uma reprodução sem palavras nenhumas é muito difícil de aproveitar. Um sítio cujas páginas mostram dados pessoais precisa de um dos dois primeiros, e essa é uma decisão que só o dono do sítio pode tomar.
Tudo pode ser excluído. Um atributo data-skomi-mask mascara uma região e o data-skomi-unmask isenta uma dentro dela, a classe skomi-block impede que um elemento seja capturado de todo, e um sítio pode listar seletores CSS que nunca são gravados.
O Global Privacy Control é respeitado por sítio, e está desligado até tu o ligares. Quando está ligado, nada é gravado para um pedido que traga Sec-GPC: 1. A verificação é feita no servidor, portanto funciona em todos os navegadores, independentemente do que a página tenha em cache. Aplica-se apenas às gravações e aos mapas de calor: a metade da analítica nunca segue um visitante de um sítio para outro, o que a torna pouco adequada para um sinal dirigido ao seguimento entre contextos.
Não fica nada guardado no dispositivo do visitante de origem, portanto na definição de origem a primeira questão acima nem se põe. A segunda põe-se na mesma: continuas a precisar de um fundamento para gravar, e tê-lo cabe-te a ti, não a nós.
As gravações expiram antes de tudo o resto. O prazo depende do teu plano e é o mais curto dos três períodos de conservação que a Skomi aplica.
Os mapas de calor são a mesma questão, mais pequena
Um mapa de calor é construído a partir da mesma recolha (cliques, movimento e profundidade de deslocamento numa página), portanto a questão do armazenamento é idêntica. O que difere é a segunda questão: um agregado de onde mil pessoas clicaram é muito mais fácil de justificar do que um vídeo de uma delas, e um mapa de calor construído sem armazenamento no dispositivo e sem texto de página é quase o mais discreto que a medição de comportamento consegue ser.
Se estás a ponderar se deves usar a reprodução de sessões de todo, essa diferença é a útil: quando precisas de gravações de sessão e quando não precisas.
Na Skomi, as duas coisas correm no Behavior, com o mascaramento aplicado aos campos em todos os modos em vez de ser uma definição de que te tens de lembrar. Se estás a comparar ferramentas precisamente neste ponto, o Microsoft Clarity documenta um requisito de consentimento próprio para visitantes da UE, e o que acontece sem ele.