プライバシー
Cookieレスアナリティクスが人を追跡せずに計測する仕組み
当社のプライバシーに関する主張には、すべて技術的な裏付けがあります。このページでは、ページビューに何が起きるのか、何を保存し、何を決して保存しないのか、そしてそれをご自身で確認する方法を正確に説明します。
私たちの言葉をそのまま信じないでください
これらのツールは、ほかの組織が運営しています。各リンクはこのウェブサイトをその場でスキャンするため、私たちが選んだスクリーンショットではなく、今日の結果をご覧いただけます。
データの流れ
EU、EEA、英国、スイスからのリクエストを含め、訪問者のすべてのリクエストは当社の米国リージョンで処理されます。IPアドレスとユーザーエージェントは、リクエストの処理中にメモリ上でのみ使用され、最小化されたイベントが保存される前に破棄されます。
-
ステップ 1 · どこからでも訪問者のブラウザ
- ページのURLとリファラー
- UTMパラメータ
- 画面の幅と言語
- お客様のカスタムイベントプロパティ
- Cookieはなく、ローカルストレージも訪問者自身のオプトアウトの選択を除いて使用しません
- フィンガープリントのAPIなし
- サードパーティへのリクエストなし
-
ステップ 2 · アメリカ合衆国取り込み(メモリ上)
- Cloudflareのヘッダーから取得した国
- ユーザーエージェント → ブラウザ、OS、デバイス
- ボットチェックとお客様のトラフィックルール
- メモリ上の訪問キー
- IPアドレスはリクエスト後に破棄
- 完全なユーザーエージェントはリクエスト後に破棄
- 個人情報をスクラブ、クエリ文字列を削減
-
ステップ 3 · 米国リージョンでキューに登録最小化されたイベント
- 最小化されたイベントのみ
- IPアドレスなし
- 生のユーザーエージェントなし
- 訪問キーもソルトもなし
-
ステップ 4 · アメリカ合衆国保存とダッシュボード
- ページ、流入元、キャンペーン
- 国とデバイスのカテゴリ
- ランダムな訪問ID(最長1日)
- イベントプロパティ
- 個人を特定するものは一切なし
- 日、サイト、デバイスを結び付けるものは一切なし
収集するものと、決して収集しないもの
収集するもの(最小化後)
- ページ. ホスト名とパス。クエリ文字列は、キャンペーンパラメータと許可リストにあるものを除いて削除します。フラグメントは、ハッシュルーティングを使用している場合を除いて削除します。
- リファラー. 参照元ページのドメインとパス。クエリは削除し、内部リファラーは空にします。
- キャンペーン. UTMパラメータと ref。広告クリックID(gclid、msclkid、fbclid)は、有無を示すフラグに変換します。
- 地域. 国のみ。当社のネットワークプロバイダー(Cloudflare)が各リクエストに付与する国ヘッダーから取得します。地域、市区町村、座標は取得しません。
- テクノロジー. ブラウザ、オペレーティングシステム(ファミリーとメジャーバージョン)、デバイスの種類、画面サイズの範囲、言語。
- エンゲージメント. ページが表示されていた時間と、10%刻みのスクロール深度。
- タイムゾーン. ブラウザのタイムゾーンの名前(America/Denverなど)。サーバー上で動くブラウザが、リクエスト元の国のタイムゾーンに設定されていることはまれなため、両者を比較してボットと人を見分ける助けにしています。この処理はメモリ上で行われ、その後タイムゾーンは破棄されます。位置情報として使用されることはなく、訪問やイベントとともに保存されることもありません。保持されるのは、高度なボット検出のボット学習用レコード(ハニーポットのヒットと、当社自身のサイトのサンプル)の中だけで、期間は12か月です。
- イベント. イベント名と、お客様が送信を選んだ最大30個の型付きプロパティ(個人情報のスクラブ後)。
決して収集、保存しないもの
- IPアドレス. ボットチェックと日次の訪問キーのためにメモリ上で使用し、その後破棄します。ディスク、ログ、キュー、データベースに書き込むことは決してありません。ボットの場合も同様です。
- 完全なユーザーエージェント. メモリ上でカテゴリに解析し、その後破棄します。
- Cookieとデバイスのストレージ. Cookie、localStorage、sessionStorage、IndexedDBは使用しません(訪問者自身によるオプトアウトの選択を除く)。
- フィンガープリント. canvas、WebGL、フォント、オーディオ、バッテリーのAPIは使用せず、追加のClient Hintsも要求しません。
- 永続的な識別子. 1日を超えて残るものや、サイトやデバイスをまたいで結び付けるものはありません。ユーザープロファイルも作成しません。
- 正確な位置情報. 座標は取得しません。
- サードパーティへのリクエスト. トラッカーが通信する相手はPrivatus Analyticsだけです。
個人情報スクラバー。保存する前に、パス、リファラー、タイトル、イベントプロパティに、メールアドレス、長い識別子、トークンのような文字列、電話番号やカード番号のような長い数字の並びが含まれていないかを確認します。一致したものは [redacted-email] のようなプレースホルダーに置き換えられます。各サイトでは編集された件数を確認できるため、漏えいを発生元で修正できます。
訪問の数え方
- UTCの1日ごとに、ランダムな256ビットのソルトを生成します。ソルトはメモリ上にのみ存在し、その日の終わりから30分の猶予期間を経て破棄されます。
- ヒットごとに、メモリ上で
HMAC(daily salt, site, IP, user agent)を計算し、メモリ専用のストアで照合します。このストアは30分間操作がないとタイムアウトし、UTCの午前0時を上限とします。 - 新しい訪問には、そのキーから導出されたものではないランダムな訪問IDが割り当てられます。保存されるのはランダムなIDだけです。
- ソルトが破棄されると、保存された訪問をデバイスに結び付けることも、日をまたいで互いに結び付けることもできなくなります。
これは仮名化されたデータです。徹底的に最小化され、1日を超えて結び付けることはできません。当社はこれを匿名データとは表現しません。
保存するすべてのフィールド
保存するフィールドを追加するには、その目的、最小化、保持期間について書面でのレビューが必要です。以下が現在の一覧です。
| フィールド | 目的 | 最小化 | 保持期間 |
|---|---|---|---|
| ホスト名、パス | ページ | 許可リスト以外のクエリを削除、個人情報をスクラブ、パスをマスク | プラン |
| リファラーのホストとパス | 流入元 | www. と m. を除去、クエリを破棄、内部リファラーは空にする | プラン |
| UTMパラメータ、ref、有料クリック | キャンペーン | クリックIDは有無を示すフラグに変換 | プラン |
| 国 | 地域 | Cloudflareの国ヘッダーから取得、IPは破棄 | プラン |
| デバイス、ブラウザ、OS(メジャーバージョンを含む)、画面サイズの範囲 | テクノロジー | 生のユーザーエージェントは破棄、画面サイズは区分化 | プラン |
| 訪問ID | 訪問 | ランダムなUUID、最長でUTCの1日 | プラン |
| イベントプロパティ | イベント | 最大30キー、型付き、個人情報をスクラブ | プラン |
| タイムゾーン名 | ボットスコアの学習 | 訪問やイベントとともに保存されることはありません。ハニーポットのヒットまたは当社自身のサイトのサンプルとともにのみ保持 | 12か月 |
| フィルターのカウンター | ボット、ルール、編集 | 集計値のみ、IPなし | 13か月 |
| 訪問キー(メモリストア) | 訪問の継続性 | HMACキー、30分でタイムアウト | 最長1日 |
| 日次ソルト(メモリストア) | 訪問キー | 永続化しない | 1日+30分 |
保持期間の「プラン」: Freeでは3か月、有料プランではご契約中は無制限。サイトごとに上書きできます。
ご自身で検証する
- このページの開発者ツールを開き、Application(またはStorage)タブに移動します。Cookieはなく、ローカルストレージにもトラッカーによるものは何もないことがわかります。トラッカーが保存するのは、訪問者自身のオプトアウトの選択だけです。ライトまたはダークのテーマを変更した場合は、このサイトがその設定もそこに保存します。
- Networkタブに切り替え、
/api/eventで絞り込んで再読み込みします。ページビューごとに小さなリクエストが1件表示されます。 - リクエストのペイロードを開きます。含まれているのは下に示したフィールドだけです。識別子もフィンガープリントもありません。
- 自分のサイトのスクリプトタグに
data-debug="true"を追加し、Consoleを見てください。すべてのヒットが、送信される内容そのままに、プレフィックス[privatus]付きでログに記録され、ブラウザの外には何も送信されません。スキップされたヒットは、その理由がログに記録されます。localhostでも動作します。何も送信せずにテストをご覧ください。 - トラッカーのソースコードを読んでみてください。MITライセンスで、一度に読み切れる短さです。オープンソースをご覧ください。
ご自身のサイトでCookieとトラッカーのスキャナーもお試しください。
リクエストに含まれるもの
これらの例は、各種類のヒットに含まれうるすべてのフィールドを示しています。ほとんどのヒットに含まれるフィールドは、これよりはるかに少なくなります。下の表に、各フィールドがいつ送信されるかを示します。
{
"s": "pa_7Q2K9XH3AB",
"t": "pageview",
"u": "https://example.com/app?utm_source=newsletter#/pricing",
"l": "en-US",
"w": 1440,
"i": 0,
"r": "https://news.example.org/",
"h": 1,
"d": 1,
"g": 1,
"hp": 1,
"a": "webdriver",
"tz": "America/Denver",
"xp": "var_4M8T2KQ9ZD",
"p": { "plan": "pro" }
}
{
"s": "pa_7Q2K9XH3AB",
"t": "engagement",
"u": "https://example.com/app?utm_source=newsletter#/pricing",
"l": "en-US",
"w": 1440,
"i": 1,
"r": "https://news.example.org/",
"h": 1,
"d": 1,
"g": 1,
"hp": 1,
"a": "webdriver",
"tz": "America/Denver",
"e": 48210,
"sd": 80
}
{
"s": "pa_7Q2K9XH3AB",
"t": "event",
"u": "https://example.com/app?utm_source=newsletter#/pricing",
"l": "en-US",
"w": 1440,
"i": 1,
"r": "https://news.example.org/",
"h": 1,
"d": 1,
"g": 1,
"hp": 1,
"a": "webdriver",
"tz": "America/Denver",
"n": "signup",
"p": { "plan": "pro" }
}
| フィールド | 意味 | 送信されるタイミング | 当社側での扱い |
|---|---|---|---|
s | サイトID | すべてのヒット | サイトの特定に使用します。イベントが属するサイトとして保存されます。 |
t | ヒットの種類: pageview、engagement、event。オプションのWeb Vitalsモジュールとクリックマップモジュールが vital と click を追加します。 | すべてのヒット | イベントの種類として保存されます。 |
u | ページのURL。キャンペーン以外のクエリパラメータは、ブラウザ側であらかじめ削除されます | すべてのヒット | ホスト名とパスが、パスマスクと個人情報スクラバーを適用したうえで保存されます。キャンペーンパラメータは保存され、広告クリックIDは有無を示すフラグになり、それ以外のクエリは破棄されます。 |
l | ブラウザの言語 | すべてのヒット | 16文字で切り詰めて保存されます。 |
w | 画面の幅(ピクセル) | すべてのヒット | サイズ範囲としてのみ保存されます。ボットスコアのためにメモリ上で読み取られます。正確な幅は破棄されます。 |
i | ページ上で最初に実際の入力(ポインター、キー、タッチ、ホイール)があった後は1、それ以外は0 | すべてのヒット | 訪問に対する「あり」か「なし」として保存されます。入力そのものに関する情報は送信されません。 |
r | リファラー | 存在する場合のみ | ホストとパスが、個人情報スクラバーを適用したうえで保存されます。クエリは破棄され、自サイトからのリファラーは空にされます。 |
h | ハッシュルーティングを使用している場合は1 | フラグメントがページアドレスの一部である場合のみ | フラグメントをパスの一部として扱うためにメモリ上で使用します。保存されません。 |
d | ブラウザがDo Not Trackを送信している場合は1 | オンの場合のみ | サイトがDo Not Trackを尊重する設定(既定ではオフ)の場合、ヒットは破棄され、何も保存されません。そうでない場合は無視されます。このフラグが保存されることはありません。 |
g | ブラウザがGlobal Privacy Controlを送信している場合は1 | オンの場合のみ | サイトがGlobal Privacy Controlを尊重する設定(既定ではオン)の場合、ヒットは破棄され、何も保存されません。そうでない場合は無視されます。このフラグが保存されることはありません。 |
hp | サイトオーナーがハニーポットとして設定したページでは1、人だけが到達するページとして設定したページでは0 | 高度なボット検出の対象に設定したページのみ | 1のヒットは、訪問にもイベントにもなりません。ボットとして数えられ、高度なボット検出を備えたプランではハニーポットのヒットとして保持されます。0のヒットは通常どおり数えられ、当社自身のサイトだけがトレーニング用サンプルとしてコピーを保持します。 |
ch | 「人間であることを確認」するページで1。サイトがランダムな一部の訪問者(人もボットも)に表示します | data-hp="ch" を付けたページのみ | 1のヒットは、訪問にもイベントにもならず、ボットとしても数えられません。高度なボット検出を備えたプランでは、ハニーポットのヒットの隣に、チャレンジとして印を付けて保持されます。 |
a | 自動化ツールの名前: webdriver、phantom、nightmare、cypress | ハニーポットまたはチャレンジのページで、自動化されたブラウザが検出された場合のみ | ハニーポットのヒットとともに保持されます。それ以外では無視されます。 |
tz | タイムゾーン名(America/Denverなど) | すべてのヒット(ブラウザが報告した場合) | ボットスコアのためにリクエストの国とメモリ上で比較し、その後破棄されます。訪問にもイベントにも保存されず、位置情報としても使用されません。ハニーポットのヒットまたはトレーニング用サンプルとともにのみ保持されます。 |
xp | 実験のプレビュー値。アドレスの pa_preview から取得 | ページビューのみ(アドレスに pa_preview がある場合) | プレビュー対象のバージョンを表示するためにメモリ上で使用します。このページビューは実験の集計に含まれません。保存されません。 |
p | カスタムプロパティ | ページビューとカスタムイベント | 個人情報スクラバーを適用したうえで、最大30個が保存されます。収益と通貨は、それぞれ専用のフィールドとして保存されます。 |
e | ページが表示されていた時間(ミリ秒) | エンゲージメントのヒット | 保存されます。上限は4時間です。 |
sd | スクロール深度(パーセント) | エンゲージメントのヒット | 10%刻みで保存されます。 |
n | イベント名 | カスタムイベント | 保存されます。120文字で切り詰めます。 |
v | Web Vitalsの値 | Vitalのヒット(Web Vitalsモジュール) | ヒットの一部のサンプルについて、vitalの名前とともに保存されます。 |
c | クリックされた要素の短いCSSセレクター、またはサイトが付けた名前 | クリックのヒット(クリックマップモジュール) | 512文字で切り詰めて保存されます。座標やテキストは含まれません。 |
オプションのアンケートモジュールは、独自の小さなリクエストを送信します。それらは、完全なリファレンスとともにドキュメントに掲載されています。ハニーポットのヒットが保持する内容は、高度なボット検出で説明しています。
データの保存場所
米国での保存と処理、および移転に関する保護措置。
コンプライアンスハブ
GDPR、ePrivacy、米国の州法など。
データ処理契約
利用規約に含まれています。