Cookies və CMP sistemləri siyasəti

1) Məqsəd və sahə

Veb, iOS/Android, e-mail/SMS/push, affiliated lendings, streams: bütün səthlərdə CMP vasitəsilə qanuni identifikatorları (cookies, local storage, SDK) saxlamaq/oxumaq və razılığı idarə etmək üçün vahid qaydaları qurun. Sənəd əlavə edir: «GDPR: razılığın idarə edilməsi», «Yaşın yoxlanılması», «Reklam standartları».

2) Hüquqi əsaslar (qısa)

ePrivacy: hər hansı bir zəruri cookies/SDK - yalnız razılıq sonra. «Ciddi zəruri» (autentifikasiya, səbət/balans, təhlükəsizlik/antifrod) - razılıq olmadan icazə verilir.
GDPR: qanuni emal bazası kimi razılıq (Art. 6(1)(a)); xidmət əməliyyatları üçün - müqavilə zərurəti (Art. 6(1)(b)); legitim maraq - məhdud və etiraz hüququ ilə.
Uşaqlar/həssas: marketinq/personal identifikatorları - qadağandır.

3) Prinsiplər

1. Prior Consent: CMP-də seçilməzdən əvvəl zəruri etiketlər yoxdur.
2. Məqsədlərin ayrılığı: analitika, personallaşdırma, marketinq, remarketinq, geolokasiya, A/B - ayrı-ayrı tumblerlər.
3. Baxış = kliklə: razılıq kimi sadə; emal dərhal dayandırılması.
4. Qaranlıq nümunələr olmadan: «Hər şeyi qəbul et »/« Hər şeyi rədd et »/« Konfiqurasiya».
5. Sübut oluna bilər: mətnlərin versiyaları, heşlər, UI ekran görüntüləri, firing qaydalarının qeydləri.
6. Minimallaşdırma/lokalizasiya: Yalnız icazə verilən bölgələrdə lazım olanı qoyur və saxlayırıq.

4) Rollar və RACI

DPO/Compliance (Owner) - siyasət, DPIA, şikayətlərə cavab. (A)

Legal - mətnlər, yerli tələblər və saxlama müddətləri. (R)

Product/UX - bannerlər/panellər, mövcudluq və lokallar. (R)

Engineering/CMP Owner - kilidləmə etiketləri, SDK, API, versiyalar. (R)

Data/Analytics - de-identifikasiya rejimləri, razılıq nəzərə alınmaqla ölçmə. (C)

CRM/Ads - geri çağırılmış razılığa əsasən suppression. (R)

InfoSec - şifrələmə, açarlar, razılıq qeydlərinə giriş. (C)

Beynəlxalq Audit - sübut nümunələri, CAPA. (C)

5) Cookies taksonomiyası/SDK

• Seans/Autentification, Balans/Səbət, Freud qorunması və yük paylanması, məxfiliyin qorunması.

• Analitika (user-level, cross-device ID).
• Personalizasiya (məzmun/oyunlar, tövsiyələr).
• Marketinq (e-mail/SMS/push - kanallar ayrıca).
• Remarketing/Ads (piksel/SDK üçüncü şəxslər).
• A/B testi (identifikatorları istifadə edirsə).
• Geolokasiya «şəhər/region» (sarsılmaz).

6) CMP: UX nümunələri və mətnlər

Birinci qat (banner): Qısa məqsəd, 3 ekvivalent düymələr: Hamısını rədd et/Konfiqurasiya/Hamısını qəbul et.
İkinci qat (panel): hədəflərin tumbler, satıcıların siyahısı və saxlama müddəti, siyasətə keçid.
Üstünlük Mərkəzi: Oyunçu profilində - marketinqin kanal bayraqları (e-mail/SMS/push/telefon), «Hər şeydən imtina et».
Mövcudluq: kontrast AA +, fokus-trap, screen-readers, lokalizasiya, mobil adaptasiya.
GPC/Do Not Track: Qlobal siqnal = hər şeyi rədd (ciddi tələb istisna olmaqla).
Apps: in-app CMP + sistem OS-prompts; server profili ilə sinxronizasiya.

7) IAB TCF 2. 2 (çərçivə)

TC-sətir Generation və saxlama, satıcı siyahısı versiyası, mapping hədəfləri, bizim bayraqlar.
TC (prior consent) alınana qədər üçüncü etiketlərin bloklanması.
Hər bir satıcı və məqsəd üçün icazələrə/qadağalara hörmət.
TCF xaricindəki bazarlar üçün - oxşar jurnallaşma ilə xüsusi CMP.

8) Tags, Tag Manager və Server-side

Deny by default: TM qaydaları razılaşmadan əvvəl lazım olmayan bütün etiketləri bloklayır.
Server-side tagging: razılıq olmadıqda identifikatorların sıfırlanması/maskalanması ilə proxy-kontur; konfiqurasiya icazə verilən bölgədə saxlanılır.
SDK-geytlar: marketinq/analitik SDK başlanğıc yalnız hədəfin true bayrağı ilə.
Firing-log: kim/nə/nə zaman «atdı», hansı razılıq statusunda.

9) Məlumatlar, artefaktlar və retensiya (minimal model)

consent_id, user_id/device_id, market, locale,
ui_variant_id, policy_version, tcf_string, vendors[],
purpose_id, status{accept    deny    withdraw}, source{web    app    sdk    api},
captured_at_utc, ip_hash, ua_hash, gpc{true    false},
evidence{banner_screenshot_id, copy_hash}, expires_at

WORM razılıq/rəy jurnalları, mətn versiyaları, UI variantlarının ekran görüntüləri.
Retence: məqsəd/münasibətlər qüvvədə olarkən + yerli şərtlər; marketinq - məhdud (çox vaxt 24 aylıq fəaliyyətsizlik ≤).

10) İnteqrasiya: CRM/Ads/Affiliates

Suppression: Review → kanalların və remarketin dərhal deaktivasiyası (near-real-time + gecə yarasaları).
E-mail/SMS: yalnız kanal üçün açıq-aşkar true (bazarlarda double opt-in) ilə göndərilir.
Affiliates: SMR/valid razılıq statusu olmayan lidlər - kvalifikasiya olunmur; version/hash şərtləri - məcburidir.

11) Regional profillər (şablon)

Market: ______
Required banner elements:...
Retention and localization:...
Requirements for TCF/vendor lists:...
GPC/DNT status:...
Documents/mandatory links:...

12) Nəzarət, testlər və audit

CI-linter: «Hamısını rədd et», GPC emalı, razılaşmadan əvvəl etiketlərin kilidini yoxlayın.
E2E testləri: accept/deny/withdraw → CRM-də firing log və suppression yoxlama ssenariləri.
Nümunələr: razılıq qeydlərinin və UI ekran görüntülərinin rüblük auditi; mətn versiyalarının müqayisəsi.
Hadisələr: razılığı olmadan hər hansı bir tag start → dərhal takedown, səbəb/fix, CAPA.

13) KPI/KRI və dashboard

Məqsədlər/bazarlar/cihazlar üzrə Opt-in Rate.
Withdraw Rate və Time-to-Apply (media).
GPC Honor Rate (düzgün emal globe. siqnal).
Tag Firing Violations (1k downloads).
Suppression Integrity (marketinq = 0 geri çağırıldıqda).
Complaint Rate / Reg Findings.
Auditability Score (artefaktların tam paketi ilə% qeydlər).

14) Çek vərəqləri

Başlamazdan əvvəl

• «Hər şeyi rədd et» ilə banner, lokallar, AA + əlçatanlığı.
• Hədəf kateqoriyaları və satıcıların siyahısı razılaşdırılmışdır (Legal/DPO).
• Tag Manager: deny-by-default; SDK geytaları.
• GPC tanınır və tətbiq olunur.
• Kanal bayraqları və «Hər şeydən abunə olmaq».
• WORM-saxlama sübut daxildir.

Əməliyyatlarda

• Firing pozuntuları və GPC monitorinqi.
• CRM/Ads-də suppression.
• DSAR cari status və jurnal qaytarır.

Audit/təkmilləşdirmə

• Rüblük razılıq nümunələri və UI ekran görüntüləri.
• A/B-rewew banner heç bir qaranlıq nümunə üçün.
• Regional profillərin və mətnlərin yenilənməsi.

15) Şablonlar (sürətli əlavələr)

A) Banner (birinci qat)

B) Panel («Remarketinq/Ads» məqsədi)

C) Razılığın geri alınması (təsdiq)

D) Şikayətə cavab «imtina etmək mümkün deyil»

16) Texniki çərçivə və hadisələr

События: `cmp_banner_shown`, `consent_given/denied/withdrawn`, `gpc_detected`, `tag_fired_blocked`, `sdk_initialized/blocked`, `marketing_unsubscribed`, `dsar_fulfilled`.

• `GET /consents? user_id=…`
• `POST /consents` (create/withdraw/update)
• `POST /marketing/preferences`
• `POST /gpc/signal`
• Infrastruktur: razılığın server cache, geo-bağlama, deny-də identifikatorların maskalanması.

17) Risklər və profilaktika

Razılaşmadan əvvəl etiketləri işə salın. → Deny-by-default, E2E testləri, həyəcanlar.
Bannerdə tünd naxışlar. → Dizayn-review, düymələrin bərabər görünürlüyü.
CRM/Ads-də status uyğunsuzluğu. → Vahid suppression xidməti və gündəlik yoxlamalar.
Lazımsız identifikatorların toplanması. → Minimallaşdırma, maskalanma, regional profillər.
Sübut yoxdur. → WORM-də ekran görüntüləri/hash/log.

18) 30 günlük tətbiq planı

Həftə 1

1. Cookies/məqsədlərin taksonomiyasını və mətnləri (lokallar) təsdiq edin; DPIA.
2. Seçin/CMP (TCF 2. 2 + xüsusi məqsədlər), GPC daxil.
3. Məlumat/artefakt modelini, WORM-anbarını spesifikləşdirin.

Həftə 2

4) Tag Manager-da deny-by-default, server cache razılığı, SDK geytaları həyata keçirmək.
5) Bir üstünlük mərkəzi qurun (kanal bayraqları, «Hər şeydən abunə olmaq»).
6) CRM/Ads və affiliates-də suppression konfiqurasiya.

Həftə 3

7) 10-20% trafik pilot: Opt-in/Withdraw/GPC Honor, firing log testi.
8) Fidbek və insidentlər üzrə UX/Copyright/TM qaydalarının düzəldilməsi.

Həftə 4

9) Tam buraxılış; KPI/KRI dashboard və alert daxil.
10) Rüblük audit planı və CAPA.
11) Plan v1. 1: Bütün bazarlar üçün server-side tagging, razılaşma əsasında avto-reports.

• GDPR: istifadəçilərin razılığını idarə etmək
• Yaş testi və yaş filtrləri
• Reklam standartları və qadağalar/Reklam diskleymerləri və doğruluğu
• Bonus şərtlərinin şəffaflığı
• Yurisdiksiyalar üzrə məlumatların lokallaşdırılması
• Daşbord komplayens və monitorinq/Daxili və xarici audit