Approche de la vie privée

Compter ce qui se passe, sans garder qui.

Voici ce que fait le code, y compris là où il s’arrête. C’est une information générale, pas un conseil juridique : les obligations de consentement sont celles du propriétaire du site, et dépendent de l’endroit où il tourne et de ce qu’il fait.

Ce qui est collecté

Le chemin de la page, sans sa requête, en gardant les tags utm_* seulement sur un site qui a coupé le mode anonyme, et avec les e-mails et les longs jetons remplacés par [email] et [token].
L’hôte du référent, sur la première page d’un chargement, sauf si c’est le site lui-même.
Les événements et attributs que le site envoie.
De la requête : un pays, un type d’appareil (ordinateur, mobile, tablette), un navigateur et un système, et le hash ci-dessous.

Ce qui ne l’est pas

Aucune adresse n’est stockée, nulle part : le tampon et la base ne la voient jamais.
Aucun user agent n’est stocké.
Aucun cookie n’est jamais déposé.
Rien n’est gardé dans le navigateur avant identify, qui y garde l’identifiant reçu dans le localStorage et que reset retire, ou avant qu’un visiteur s’oppose, ce qu’optIn annule.

Le hash

Un visiteur vaut sha256(sel, site, adresse, user agent), où le sel dérive de TRAILIC_SECRET et du jour. La même personne est donc quelqu’un d’autre demain, et sur un autre site. En mode anonyme, actif par défaut, l’adresse est d’abord raccourcie : IPv4 en /24, IPv6 en /48.

sha256(salt(TRAILIC_SECRET, day), site, address, userAgent)

Ce que ça coûte, et ce que ça ne protège pas

Tous ceux qui partagent une adresse et un même navigateur comptent pour un visiteur : une sous-estimation connue. En mode anonyme, c’est aussi le cas de tous ceux d’un même /24 ou /48 avec le même navigateur.
Un visiteur compte une fois par site et par jour : les visiteurs d’une période additionnent ses jours.
Qui détient TRAILIC_SECRET et connaît l’adresse et le navigateur de quelqu’un pourrait calculer son hash pour n’importe quel jour. Cela empêche de lire qui a visité depuis la base, pas à quelqu’un qui a le secret et un suspect de vérifier.

Identifier quelqu’un

Seulement avec le mode anonyme coupé : il refuse identify. Seules les personnes identifiées peuvent être suivies d’un jour à l’autre : la rétention ne compte qu’elles, et quelqu’un d’anonyme ne peut convertir dans un funnel que dans la journée. Ce qu’un visiteur a fait dans la demi-heure avant identify devient le sien, sur le même hash, pour qu’un funnel commencé anonyme et fini connecté reste celui d’une seule personne. Deux personnes derrière une même adresse avec le même navigateur peuvent être confondues dans cette demi-heure. Préférez un identifiant opaque à une adresse : userId et les attributs sont ce que votre projet envoie.

Les choix d’un site

Mode anonyme: Actif par défaut, site par site, et réglable sur la page du site. Il raccourcit l’adresse avant le hash, ne garde aucun tag UTM, refuse identify et ne compte jamais les espaces de connexion, de compte, d’administration ou de profil. Les chiffres restent des comptes exacts dans les deux cas.
optOut(): La façon dont un visiteur s’oppose, avec un bouton pour une page de confidentialité dans trailic/opt-out. Plus rien ne quitte ce navigateur, qui retient le choix une fois fait.
consent={false}: Garde tout en mémoire jusqu’à ce qu’il passe à vrai : rien n’est envoyé ni stocké avant. Le retirer efface ce qu’identify a gardé.
respectPrivacySignals: N’envoie rien pour un navigateur qui dit Do Not Track ou Global Privacy Control. Désactivé par défaut, parce que rien ici ne suit personne d’un site à l’autre, mais c’est la décision du site.

Effacer quelqu’un

La page d’une personne a un bouton pour quand elle le demande : ses événements, ses attributs et sa part dans les jours dont les événements bruts existent encore partent aussitôt. Ce qui reste dans le tampon à son sujet est écarté à l’arrivée, grâce à un hash de qui elle était, gardé huit jours et pas plus. Les jours dont les événements bruts ont expiré sont des comptes sans personne dedans et restent tels quels.

Combien de temps ça reste

90 jours d’événements bruts par défaut, entre 14 et 730 par site. Une tâche quotidienne supprime les journées entières passé la rétention de chaque site. Quelqu’un qu’on n’a pas vu depuis aussi longtemps est oublié aussi, attributs compris. Les agrégats, qui sont des comptes, restent jusqu’à la suppression du site.

Le consentement est votre décision

Qu’un site doive demander, et ce qu’il doit dire à ses visiteurs, dépend de l’endroit où il tourne et de ce qu’il fait. Trailic donne les moyens, et dit clairement ce qu’il fait, pour que le propriétaire d’un site puisse décider. L’absence de cookie ne règle pas à elle seule la question.