Analityka bez cookies: co widać bez zgody, a co dopiero po niej

Analityka strony firmowej w KOMPASFIRM działa w dwóch warstwach. Pierwsza pracuje po stronie serwera, nie używa cookies ani żadnego śledzenia i działa zawsze: liczy żądania, automaty, błędy i wysłane zapytania. Druga mierzy wizyty ludzi w przeglądarce i włącza się dopiero wtedy, gdy odwiedzający zgodzi się na to w banerze. Ten podział to nie kompromis, tylko projekt: wszystko, co da się policzyć bez dotykania prywatności, liczymy bez pytania o zgodę, a o zgodę pytamy tylko tam, gdzie jest naprawdę potrzebna.

Poniżej dokładna mapa: co widać w każdej z warstw, czego świadomie nie zbieramy, jak długo co przechowujemy i co to znaczy dla RODO po Twojej stronie.

Najpierw: skąd w ogóle wymóg zgody

Cookie (ciasteczko) to mały zapis, który strona zostawia w przeglądarce odwiedzającego, żeby rozpoznać go przy kolejnym wejściu. Do tego samego celu służą inne mechanizmy przechowywania w przeglądarce. Prawo (w Polsce prawo telekomunikacyjne, w Unii dyrektywa o prywatności elektronicznej) wymaga zgody na każde takie zapisanie, które nie jest niezbędne do działania strony. Pomiar wizyt, który rozpoznaje tę samą osobę między wejściami, niezbędny nie jest, więc wymaga zgody. Policzenie, ile razy serwer oddał stronę, niczego w przeglądarce nie zapisuje, więc zgody nie wymaga. Na tym rozróżnieniu stoi cała konstrukcja opisana niżej.

Warstwa serwerowa: co widać bez żadnej zgody

Serwer i tak musi obsłużyć każde żądanie do strony, więc jego zapisanie nie wymaga niczego od przeglądarki odwiedzającego. Z każdego żądania zapisujemy: adres podstrony, kod odpowiedzi, czas obsługi, przybliżony kraj i kategorię automatu, jeśli żądanie wysłał bot.

Świadomie nie zapisujemy adresu IP ani pełnego identyfikatora przeglądarki. To dane, które w połączeniu z czasem żądania pozwalałyby wskazać konkretną osobę, a do żadnego z naszych celów nie są potrzebne. Klasyfikacja automatu odbywa się w momencie zapisu i do bazy trafia już tylko wynik: kategoria, nazwa i operator robota.

Z tej warstwy pochodzą raporty, które nie dotyczą osób, tylko infrastruktury i robotów:

• stan strony: błędy, wolne odpowiedzi, rozkład ruchu w godzinach,
• Google i AI: które roboty wyszukiwarek i firm AI odwiedzają stronę, co czytają i czy ich wizyty są zweryfikowane,
• ruch automatów: ile żądań wysyłają skanery i inne boty (o skali tego zjawiska pisaliśmy w artykule ile ruchu na stronie firmowej to boty),
• zablokowany spam: ile zgłoszeń z formularzy zatrzymała ochrona antyspamowa.

Do warstwy serwerowej należy też najważniejszy licznik całego systemu: zapytania. Wysłany formularz kontaktowy to zdarzenie biznesowe, nie śledzenie odwiedzającego, więc trafia do analityki zawsze, niezależnie od zgód. Dzięki temu raport zapytań jest kompletny nawet wtedy, gdy nikt nie klika „zgadzam się" w banerze. Do zapytania przypinane są też parametry kampanii z adresu (skąd przyszła osoba, która napisała), bo odczytujemy je z adresu strony w chwili wysyłki, bez zapisywania czegokolwiek w przeglądarce. Dane o zapytaniach dostaje każdy plan, także darmowy: to podstawowa obietnica produktu, a nie funkcja premium.

Warstwa przeglądarkowa: co dochodzi po zgodzie

Pomiar wizyt wymaga skryptu w przeglądarce, a skrypt analityczny wymaga zgody. Nasz tracker jest więc osadzony jako zasób zarządzany przez baner zgód i do momentu zgody w ogóle się nie uruchamia: przeglądarka widzi go jako nieaktywny fragment tekstu, nie jako kod do wykonania.

Baner ma dwie kategorie zgód: analityczną (nasz pomiar wizyt) i marketingową (piksele reklamowe, jeśli je podłączysz). Odwiedzający może zgodzić się na jedną, obie albo żadną, a decyzję zmienić w każdej chwili przyciskiem w rogu strony. Po zgodzie analitycznej dochodzą raporty o ludziach, wciąż bez identyfikowania konkretnych osób:

• wizyty i strony wejścia: ilu ludzi, na które podstrony, z jakich urządzeń,
• źródła: skąd przyszli (wyszukiwarka, media społecznościowe, wejścia bezpośrednie, kampanie), z atrybucją pierwszego i ostatniego źródła,
• próby kontaktu: kliknięcia w telefon, e-mail, WhatsAppa czy mapę, opisane szerzej we wpisie o lejku strony firmowej,
• lejek sekcja po sekcji na landingach: dokąd ludzie doczytali.

Konsekwencja jest oczywista i mówimy o niej wprost: liczba wizyt jest niedoszacowana, bo część odwiedzających zgody nie wyraża. Dlatego wskaźników z tej warstwy używamy do porównań w czasie i między źródłami, a nie jako „prawdziwej" liczby gości. Zapytania, liczone serwerowo, pozostają kompletne zawsze.

Wyjątek, który celowo omija zgodę: testy A/B dzielą ruch po stronie serwera, więc obejmują wszystkich odwiedzających, nie tylko tych ze zgodą. Test na samej zgadzającej się mniejszości mierzyłby co innego, niż się wydaje.

Dlaczego nie używamy do tego Google Analytics

Nic nie stoi na przeszkodzie, żeby podpiąć do strony Google Analytics, menedżera tagów czy piksel reklamowy: platforma to wspiera, także z poprawną obsługą zgód (tryb zgody Google, w którym narzędzia dostają sygnał o decyzji odwiedzającego i bez zgody nie zapisują ciasteczek). Wbudowana analityka rozwiązuje jednak inny problem. Narzędzia reklamowe odpowiadają na pytania działów marketingu i wymagają wysyłania danych o odwiedzających do zewnętrznych systemów. Nasza analityka odpowiada na pytania właściciela lokalnej firmy: ile było zapytań, skąd przyszli ludzie, którzy je zostawili, czy strona działa i czy Google ją czyta. I robi to na infrastrukturze platformy, bez przekazywania danych komukolwiek.

Jest też powód czysto praktyczny. Zewnętrzna analityka widzi tylko to, co wykona się w przeglądarce, więc przy odmowie zgody ślepnie zupełnie. Warstwa serwerowa nie ślepnie nigdy: zapytania, błędy i roboty widać w całości niezależnie od decyzji odwiedzających.

Kiedy mimo to podpiąć GA4 albo piksel? Gdy prowadzisz kampanie reklamowe: Google Ads i Meta muszą dostać zdarzenie konwersji po leadzie, żeby optymalizować kampanię pod zapytania. Strona wysyła je sama po wysłaniu formularza; opisaliśmy to we wpisie o konwersjach z landingu.

Jak długo przechowujemy dane

Krótko, bo do niczego więcej nie są potrzebne. Surowe zapisy żądań żyją dwa tygodnie, zdarzenia z przeglądarki trzy miesiące, wizyty cztery. Wszystko, co oglądasz na wykresach dłuższych niż te okresy, pochodzi ze zagregowanych podsumowań dziennych: tabel, w których nie ma już pojedynczych żądań ani wizyt, tylko sumy per dzień. Agregaty trzymamy do dwóch lat wstecz, żeby dało się porównać sezon do sezonu. Zapytania z formularzy to Twoje dane biznesowe i zostają w skrzynce leadów tak długo, jak ich potrzebujesz.

Co to znaczy dla Twojego RODO

Analityka serwerowa nie przetwarza danych osobowych odwiedzających (nie ma IP ani identyfikatorów), więc nie wymaga wpisu o profilowaniu w Twojej polityce prywatności. Pomiar w przeglądarce działa za zgodą, którą zbiera baner na Twojej stronie, a jego treść w trzech językach dostajesz z automatu. Dane z formularzy przetwarzasz Ty jako administrator: to Twoi klienci i Twoja skrzynka; platforma jest podmiotem przetwarzającym w Twoim imieniu. Polityka prywatności strony, generowana automatycznie, opisuje ten podział; jeśli podłączysz zewnętrzne narzędzia reklamowe, dopisz je do niej.

Co to oznacza w praktyce

Dla odwiedzających Twoją stronę: żadnego profilowania, żadnych cookies analitycznych bez zgody, żadnych adresów IP w bazach. Dla Ciebie: kompletny obraz zapytań i stanu technicznego strony niezależnie od tego, co odwiedzający klikną w banerze, plus uczciwie opisany, świadomie niedoszacowany pomiar wizyt tam, gdzie zgoda jest.

Taka konstrukcja ma jeszcze jedną zaletę, o której rzadko się mówi: wnioski z analityki nie znikną, gdy przeglądarki kolejny raz zaostrzą politykę wobec śledzenia. Wszystko, co kluczowe, liczymy tam, gdzie żadna przeglądarka nie sięga: na własnym serwerze.