Reklamy Adgora na stronach wymagających logowania

Czy wydawcy Adgora mogą wyświetlać reklamy na stronach internetowych z kontami użytkowników i danymi osobowymi?

Witryna może być publiczna w jednej części, a prywatna w innej. Odwiedzający może przeczytać ogólnodostępny artykuł, a następnie zalogować się, by sprawdzić historię rozliczeń, prywatne wiadomości lub ustawienia konta. Umieszczenie reklamy w tej części dostępnej po zalogowaniu rodzi konkretne pytanie: czy żądanie reklamy ujawnia informacje powiązane z osobą korzystającą z konta?

Odpowiedź zależy od strony, przetwarzanych na niej danych oraz wymagań dotyczących wydawcy. Sam fakt, że dostęp wymaga zalogowania, nie przesądza o tym, czy dana strona kwalifikuje się do wyświetlania reklam. Wydawcy powinni oceniać każde miejsce emisji osobno i nie przekazywać informacji o koncie w żądaniach reklamowych, chyba że odpowiednie wymagania wyraźnie na to zezwalają. Przed uruchomieniem reklam sprawdź aktualne wymagania Adgora dla wydawców, czyli Adgora zasady dla wydawców.

Czym różni się witryna z kontami użytkowników od witryny publicznej?

Strona publiczna zazwyczaj udostępnia ten sam artykuł wielu odwiedzającym. Na stronie dostępnej po zalogowaniu treść lub dostępne działania mogą być powiązane z kontem konkretnej osoby. Na przykład panel z zapisanymi przez użytkownika pozycjami różni się od publicznej strony z listą popularnych pozycji, nawet jeśli obie mają podobny układ.

To rozróżnienie jest istotne, ponieważ strona może ujawniać więcej, niż wynikałoby z jej adresu URL. Strona zatytułowana „Podsumowanie konta” może zawierać w treści imię i nazwisko, status członkostwa lub ostatnią aktywność użytkownika. Żądanie reklamy, które przekazuje takie szczegóły — albo adres URL, który je zawiera — może wysłać informacje o koncie poza witrynę.

Decyzję o miejscu emisji reklamy rozpatruj niezależnie od samego logowania. Dla każdego typu strony ustal, co widzi użytkownik, jakie informacje wyświetla strona i jakie dane wysyła kod reklamowy. Strona profilu zalogowanego użytkownika i publiczny artykuł pomocy nie powinny być automatycznie traktowane tak samo.

Czy wydawcy mogą korzystać z Adgora na stronach wymagających logowania?

Wydawcy nie powinni zakładać, że każda strona dostępna po zalogowaniu jest dozwolona ani że wszystkie treści dostępne po zalogowaniu są zabronione. Każdą stronę i każde miejsce emisji należy ocenić pod kątem aktualnych wymagań Adgora dla wydawców, w tym zasad dotyczących treści objętych ograniczeniami, danych osobowych i implementacji reklam.

Zacznij od sporządzenia wykazu stron. Wypisz typy stron dostępnych po zalogowaniu, na których mogłaby pojawić się reklama: ogólny panel członka, prywatną skrzynkę odbiorczą, stronę płatności czy stronę lekcji kursu. Następnie zanotuj, co wyświetla każda z nich i czy zawiera informacje powiązane z konkretnym kontem. Dzięki temu wydawca zyska praktyczną podstawę do określenia, które miejsca emisji należy sprawdzić, wykluczyć lub przetestować. Takie podejście pomaga odpowiedzieć na pytanie, czy można wyświetlać reklamy na stronach wymagających logowania.

Przykładowo serwis społecznościowy może mieć publiczny indeks dyskusji i prywatne wątki wiadomości. Indeks można ocenić jako osobne miejsce emisji, natomiast widok wiadomości należy traktować ostrożnie, ponieważ może zawierać prywatną korespondencję. To, że obie strony wymagają logowania, nie rozstrzyga, czy którakolwiek z nich kwalifikuje się do wyświetlania reklam.

Przed umieszczeniem reklam na stronie wymagającej logowania sprawdź aktualne zasady — nie opieraj się na ogólnych założeniach dotyczących serwisów z kontami użytkowników. Jeśli jakieś wymaganie jest niejasne, poproś Adgora o wskazówki i nie aktywuj miejsca emisji, dopóki wydawca nie uzyska jednoznacznej odpowiedzi.

Jakich danych osobowych nie należy przekazywać w żądaniach reklamowych?

Nie umieszczaj danych konta w żądaniach reklamowych, chyba że udokumentowane i zatwierdzone wymaganie stanowi inaczej. Imion i nazwisk, adresów e-mail, haseł, prywatnych wiadomości, numerów telefonów, danych płatniczych ani identyfikatorów kont nie należy dodawać do tagów reklamowych, parametrów żądań ani adresów URL związanych z reklamami. Wydawcy powinni wiedzieć, jak chronić dane osobowe w żądaniach reklamowych, sprawdzając cały przepływ informacji, a nie tylko widoczny kod tagu.

Szczególną uwagę zwróć na adresy URL. Link taki jak /[email protected] może ujawnić adres e-mail systemom, które otrzymują lub zapisują ten adres URL. Podobne ryzyko wiąże się z ciągami zapytania zawierającymi numer konta, token resetowania hasła lub identyfikator prywatnej wiadomości. W miarę możliwości stosuj ścieżki, które nie ujawniają tożsamości, i nigdy nie umieszczaj w adresach URL danych poufnych.

Sprawdzaj, co wysyła strona, a nie tylko to, co widać w kodzie tagu reklamowego. Zmienne strony, warstwy danych, informacje z nagłówka odsyłającego i żądania sieciowe mogą zawierać wartości pobrane z ekranów konta. Programista wydawcy może sprawdzić żądania w narzędziach sieciowych przeglądarki i upewnić się, czy imię i nazwisko lub dane konta pojawiają się w adresie URL żądania albo jego treści.

Nie przekazuj hasła w żądaniu reklamowym. Nie przekazuj prywatnej wiadomości. To jednoznaczne granice, nawet jeśli konfiguracja reklamowa witryny używa wspólnych skryptów na stronach publicznych i tych dostępnych po zalogowaniu.

Jak wydawcy powinni postępować z treściami zależnymi od konta?

Niektóre strony konta ujawniają aktywność lub sytuację danej osoby, nawet jeśli nie zawierają oczywistych danych identyfikujących. Strona pokazująca wizytę lekarską, wniosek o pomoc finansową lub prywatny spór użytkownika może zawierać wrażliwe informacje ze względu na poruszaną tematykę. Przed umieszczeniem obok niej reklamy wydawca powinien sprawdzić, jakie informacje ujawnia taka strona.

Przeprowadź ocenę na poziomie szablonu strony i sprawdź rzeczywiste przykłady przy użyciu kont testowych. W przypadku platformy edukacyjnej sprawdź, czy strona lekcji ujawnia postępy ucznia lub wyniki sprawdzianów. W serwisie członkowskim upewnij się, czy strona odnowienia członkostwa pokazuje status płatności. Takie informacje mogą mieć wpływ na to, czy miejsce emisji reklamy jest odpowiednie — nawet jeśli żadne dane osobowe nie są celowo przekazywane w żądaniu reklamowym.

Rozważ wykluczenie miejsc emisji na stronach, których treści są prywatne, szczególnie wrażliwe lub mogą się zmieniać zależnie od sytuacji konkretnej osoby. Nie zakładaj, że obecność jednostki reklamowej we wspólnym szablonie oznacza, że każda strona korzystająca z tego szablonu jest odpowiednia.

Jeśli strona łączy ogólne treści ze szczegółami dotyczącymi konkretnego konta, oceniaj łącznie jej układ i przepływ danych. Reklama przy ogólnym artykule pomocy może wiązać się z innym ryzykiem niż reklama przy spersonalizowanym powiadomieniu, nawet jeśli obie strony znajdują się w tym samym menu konta.

Co wydawcy powinni sprawdzić przed wyświetlaniem reklam zalogowanym użytkownikom?

Przed uruchomieniem sprawdź cztery kwestie: aktualne wymagania Adgora dla wydawców, politykę prywatności witryny, wybory użytkowników dotyczące zgody oraz przepisy obowiązujące w lokalizacji wydawcy. To, które wymagania mają zastosowanie, może zależeć od usługi, przetwarzanych danych i lokalizacji użytkownika.

Upewnij się, że polityka prywatności rzetelnie i zrozumiale opisuje praktyki reklamowe witryny. Sprawdź, czy wybory użytkownika dotyczące zgody wpływają na wyświetlanie reklam lub udostępnianie danych, i dopilnuj, aby wdrożenie witryny uwzględniało te wybory. Sam baner zgody nie dowodzi, że każde żądanie respektuje decyzję użytkownika.

Udokumentuj przeprowadzoną ocenę. W krótkim zapisie można wskazać szablon strony, wyświetlane na niej dane, decyzję dotyczącą miejsca emisji reklamy, przetestowane działanie mechanizmu zgody oraz osobę, która zatwierdziła zmianę. Jeśli witryna doda później nowe pole konta lub zmieni kod reklamowy, zapis ten będzie dobrym punktem wyjścia do ponownej kontroli.

W razie potrzeby wydawcy powinni skonsultować obowiązujące przepisy i wymagania platformy z odpowiednio wykwalifikowanymi doradcami. Nie wyciągaj wniosków na podstawie zasad obowiązujących w innym kraju ani publicznej strony, która przetwarza dane w inny sposób.

Jak wydawcy mogą testować reklamy bez ujawniania prawdziwych danych konta?

Korzystaj z kont testowych wypełnionych sztucznymi danymi, a nie z prawdziwych danych klientów. Profil testowy może zawierać wyraźnie fikcyjne imię i nazwisko oraz przykładowy adres e-mail przeznaczony do testów. Używaj haseł unikalnych dla środowiska testowego i nigdy nie wprowadzaj danych logowania z produkcji do narzędzi debugowania ani żądań reklamowych.

Przetestuj każdy istotny typ strony: panel, ekran profilu, stronę rozliczeń i wszystkie inne szablony, na których mogą pojawić się reklamy. Otwórz narzędzia deweloperskie przeglądarki, sprawdź żądania sieciowe i poszukaj imion i nazwisk, adresów e-mail, treści wiadomości, identyfikatorów lub innych prywatnych danych w adresach URL żądań i ich treści. Sprawdź zarówno początkowe wczytanie strony, jak i działania takie jak zmiana karty czy otwarcie okna modalnego.

Przetestuj również stronę przy różnych wyborach dotyczących zgody. Zgodnie z konfiguracją witryny sprawdź, czy miejsce emisji działa zgodnie z założeniami, gdy użytkownik wyraża zgodę, odmawia jej lub zmienia swoją decyzję. Oczekiwane działanie należy udokumentować przed rozpoczęciem testów.

Na koniec sprawdź, czy historia przeglądarki, dane odesłania i dzienniki błędów nie przechwytują wrażliwych danych za pośrednictwem adresów URL związanych z konkretnym kontem. Test, który nie wykryje danych osobowych w jednym żądaniu reklamowym, jest przydatny, ale nie obejmuje wszystkich stron ani działań użytkowników.

Co powinni zrobić wydawcy, jeśli dane osobowe pojawią się w ruchu reklamowym?

Najpierw wstrzymaj wyświetlanie reklam w danym miejscu. Jeśli żądanie reklamowe zawiera adres e-mail prawdziwej osoby lub inne dane konta, wyłączenie tej emisji może ograniczyć dalsze ujawnianie informacji na czas ustalania przyczyny. Zabezpiecz informacje potrzebne do przeprowadzenia dochodzenia i nie kopiuj wrażliwych danych do standardowych zgłoszeń ani wiadomości na czacie.

Postępuj zgodnie z procedurą reagowania na incydenty obowiązującą w witrynie. Ustal, których stron i żądań dotyczył problem, kiedy się rozpoczął i czy dane zostały wysłane do zewnętrznej usługi. Następnie usuń źródło problemu, na przykład parametr adresu URL lub zmienną strony uwzględnioną w kodzie reklamowym, a przed przywróceniem emisji ponownie przetestuj ją z użyciem sztucznych danych konta.

Powiadom odpowiednią osobę lub komórkę ds. prywatności albo bezpieczeństwa u wydawcy i postępuj zgodnie z obowiązującymi procedurami zgłaszania. To, czy należy powiadomić organ regulacyjny, osoby, których dane dotyczą, lub Adgora, zależy od okoliczności i obowiązujących przepisów. Skonsultuj te obowiązki z odpowiedzialnym zespołem lub wykwalifikowanym prawnikiem.