Cookies саясаты жана CMP системалары

1) Максаты жана аймагы

Бардык беттеринде CMP аркылуу мыйзамдуу сактоо/окуу идентификаторлорунун (cookies, local storage, SDK) жана макулдук башкаруунун бирдиктүү эрежелерин орнотуу: веб, iOS/Android, e-mail/SMS/push, аффилиирленген лендингдер, агымдар. Документ төмөнкүлөрдү толуктайт: "GDPR: макулдукту башкаруу", "Куракты текшерүү", "Жарнамалык стандарттар".

2) Укуктук негиздер (кыскача)

ePrivacy: ар кандай зарыл эмес кукилер/SDK - гана макулдугунан кийин. "Катуу зарыл" (аутентификация, себет/баланс, коопсуздук/антифрод) - макулдугусуз жол берилет.
GDPR: иштетүү үчүн мыйзамдуу негиз катары макулдук (Art. 6(1)(a)); сервистик операциялар үчүн - келишимдик зарылчылык (Art. 6(1)(b)); мыйзамдуу кызыкчылыгы - чектелген жана каршы чыгуу укугу менен.
Балдар/аялуу: маркетинг/жекелештирүү ID - тыюу салынган.

3) Принциптер

1. Prior Consent: эч кандай зарыл тег CMP тандоо чейин.
2. Максаттардын бөлүнүшү: аналитика, персоналдаштыруу, маркетинг, ремаркетинг, геолокация, A/B - өзүнчө тумблерлер.
3. Жооп = чыкылдатуу менен: макулдук сыяктуу эле жөнөкөй; иштетүүнү токтоосуз токтотуу.
4. Караңгы үлгүлөрү жок: бирдей көрүнүү "Баарын кабыл алуу "/" Баарын четке кагуу "/" Орнотуу".
5. Далилдөө: тексттердин версиялары, хэштер, UI скриншоттору, firing эрежелеринин логдери.
6. Минималдаштыруу/локалдаштыруу: уруксат берилген аймактарда гана керектүү нерселерди коюп, сактайбыз.

4) Ролдору жана RACI

DPO/Compliance (Owner) - саясат, DPIA, даттанууларга жооптор. (A)

Юридикалык - тексттер, жергиликтүү талаптар жана сактоо мөөнөтү. (R)

Product/UX - баннерлер/панелдер, жеткиликтүүлүк жана жергиликтүү. (R)

Engineering/CMP Owner - блоктоо теги, SDK, API, версия. (R)

Data/Analytics - де-идентификация режимдери, макулдуктарды эске алуу менен өлчөө. (C)

CRM/Ads - кайра чакыртып алынган макулдуктар боюнча suppression. (R)

InfoSec - шифрлөө, ачкычтар, макулдук логдоруна кирүү. (C)

Эл аралык аудит - далил үлгүлөрү, CAPA. (C)

5) Cookies/SDK таксономиясы

• Сессия/аутентификация, баланс/себет, фрод коргоо жана жүктү бөлүштүрүү, купуялык тандоону сактоо.

• Аналитика (user-level, кросс-аппарат ID).
• Персоналдаштыруу (мазмун/оюндар, сунуштар).
• Маркетинг (электрондук почта/SMS/push - өзүнчө каналдар).
• Ремаркетинг/Ads (пиксел/SDK үчүнчү жактар).
• A/B-тестирлөө (идентификаторлорду колдонсо).
• Геолокация "шаар/аймак" (катуу эмес).

6) CMP: UX үлгүлөрү жана тексттер

Биринчи катмар (баннер): кыска максаты, 3 барабар баскычтар: баарын четке кагуу/орнотуу/баарын кабыл алуу.
Экинчи катмар (Panel): максаттары, сатуучулардын тизмеси жана сактоо мөөнөтү, саясатка шилтеме.
Преференция борбору: оюнчунун профилинде - маркетингдин каналдык желектери (e-mail/SMS/push/телефон), "Баарынан баш тартуу".
Жеткиликтүүлүк: контраст AA +, фокус-капкан, screen-readers, локализация, мобилдик адаптация.
GPC/Do Not Track: глобалдык сигнал = баарын четке кагуу (катуу зарыл болгон башка).
Apps: in-app CMP + системалык OS-prompts; сервердик профиль менен синхрондоштуруу.

7) IAB TCF 2. 2 (каркас)

TC-саптарын түзүү жана сактоо, сатуучу тизмесин чыгаруу, mapping максаттары биздин желектер.
TC (prior consent) алганга чейин үчүнчү тегдерди бөгөттөө.
Ар бир сатуучу жана максат боюнча уруксаттарды/тыюу салууларды урматтоо.
TCF сыртындагы базарлар үчүн - окшош журналдаштыруу менен атайын CMP.

8) Tags, Tag Manager жана Server-side

Deny by default: TM эрежелери бардык зарыл эмес тегдерди бекитүү чейин бөгөттөйт.
Server-side tagging: макулдугу жок идентификацияларды нөлгө чыгаруу/жашыруу менен прокси-контур; конфигурациясы уруксат берилген аймакта сакталат.
SDK-Гейтс: маркетинг/аналитикалык SDK гана чыныгы желеги максаттуу башталышы.
Firing-логи: ким/эмне/качан "атылган", макулдук статусу кандай.

9) Маалыматтар, экспонаттар жана ретенция (минималдуу модель)

consent_id, user_id/device_id, market, locale,
ui_variant_id, policy_version, tcf_string, vendors[],
purpose_id, status{accept    deny    withdraw}, source{web    app    sdk    api},
captured_at_utc, ip_hash, ua_hash, gpc{true    false},
evidence{banner_screenshot_id, copy_hash}, expires_at

WORM-журналдар макулдук/сын-пикирлер, текст нускалары, скриншоттор UI параметрлери.
Retence: максат/мамилелер + жергиликтүү мөөнөттөр жарактуу болсо; маркетинг - чектелген (көбүнчө 24 ай ≤).

10) Интеграция: CRM/Ads/Аффилиаттар

Suppression: Review → каналдарды жана ремаркетинг токтоосуз деактивациялоо (near-real-time + түнкү бэтчилер).
E-mail/SMS: канал үчүн ачык-айкын чындык менен гана жөнөтүү (рыноктордо double opt-in).
Аффилиаттар: СМР/валиддик макулдук статусу жок лиддер - квалификацияланбайт; version/hash шарттары - милдеттүү.

11) Аймактык профилдер (шаблон)

Market: ______
Required banner elements:...
Retention and localization:...
Requirements for TCF/vendor lists:...
GPC/DNT status:...
Documents/mandatory links:...

12) Контролдоо, тесттер жана аудит

CI-Линтер: "Баарын четке кагуу", GPC-иштетүү, бекитүү тегтерин бөгөттөө бар экендигин текшерүү.
E2E-тесттер: accept/deny/withdraw скрипттери → CRM firing-логин жана suppression текшерүү.
Үлгүлөр: макулдуктардын жана скриншоттордун жазууларынын кварталдык аудити; тексттердин версияларын салыштыруу.
Окуялар: макулдугусуз кандайдыр бир тег ишке → токтоосуз takedown, себеп/fix, CAPA.

13) KPI/KRI жана дашборд

Максаттар/базарлар/түзмөктөр боюнча Opt-in Rate.
Withdraw Rate жана Time-to-Apply (медиана).
GPC Honor Rate (туура иштетүү globe. сигнал).
Tag Firing Violations (1k жүктөмөлөр боюнча).
Suppression Integrity (маркетинг = 0).
Complaint Rate / Reg Findings.
Auditability Score (экспонаттардын толук пакети менен% жазуулар).

14) Чек-баракчалар

Башталганга чейин

• "Баарын четке кагуу" менен баннер, жергиликтүү, AA + жеткиликтүүлүгү.
• Максаттар категориялары жана сатуучулардын тизмеси макулдашылган (мыйзамдуу/DPO).
• Tag Manager: deny-by-default; SDK-гейтс.
• GPC таанылат жана колдонулат.
• Канал желектери жана "Баарынан баш тартуу" менен преференция борбору.
• WORM-далилдерди сактоо кирет.

Операцияларда

• Firing бузуулар жана GPC мониторинг.
• CRM/Ads боюнча suppression салыштыруу.
• DSAR учурдагы статусун жана журналын кайтарып берет.

Аудит/жакшыртуу

• Чейректик макулдуктарды жана UI скриншотторду тандоо.
• Кара үлгүлөрдүн жоктугуна баннердин A/B-ревю.
• Аймактык профилдерди жана тексттерди жаңыртуу.

15) Үлгүлөр (тез киргизүү)

A) Баннер (биринчи катмар)

B) Панель ("Ремаркетинг/Ads" максаты)

C) Макулдукту кайтарып алуу (тастыктоо)

D) Даттанууга жооп "баш тартуу мүмкүн эмес"

16) Техникалык кадр жана окуялар

События: `cmp_banner_shown`, `consent_given/denied/withdrawn`, `gpc_detected`, `tag_fired_blocked`, `sdk_initialized/blocked`, `marketing_unsubscribed`, `dsar_fulfilled`.

• `GET /consents? user_id=…`
• `POST /consents` (create/withdraw/update)
• `POST /marketing/preferences`
• `POST /gpc/signal`
• Инфраструктура: макулдуктардын сервердик кэши, гео-шилтемелер, дени болгондо идентификаторлорду жашыруу.

17) Тобокелдиктер жана алдын алуу

макулдашуу чейин тегтерди баштоо. → Deny-by-default, E2E-тесттер, тынчсыздануулар.
Баннердеги караңгы үлгүлөр. → Дизайн-ревю, баскычтардын бирдей көрүнүшү.
CRM/Ads статусун дал келбейт. → Бирдиктүү suppression кызматы жана күнүмдүк салыштыруу.
Кошумча идентификаторлорду чогултуу. → Минималдаштыруу, жашыруу, аймактык профилдер.
далил жок. → WORM скриншот/хэш/логи.

18) 30 күндүк ишке ашыруу планы

1-жума

1. Кукилердин/максаттардын жана тексттердин таксономиясын бекитүү (жергиликтүү); DPIA.
2. Тандоо/орнотуу CMP (TCF 2. 2 + өзгөчө максаттары), GPC кирет.
3. Маалымат/артефакттардын моделин, WORM сактоо.

Жума 2

4) Tag Manager deny-by-default ишке ашыруу, Server кэш макулдуктары, SDK-гейтс.
5) Преференция борборун куруу (каналдык желектер, "Баарынан баш тартуу").
6) CRM/Ads жана аффилиат-фиддеринде suppression.

Жума 3

7) 10-20% трафик боюнча учкуч: Opt-in/Withdraw/GPC Honor, Firing Log сыноо.
8) UX/Copyright/Фидбек жана окуялар боюнча ТМ эрежелерин оңдоо.

4-жума

9) Толук релиз; дашборд KPI/KRI жана алерталар кирет.
10) Чейректик аудит планы жана CAPA.
11) План v1. 1: бардык базарлар үчүн server-side tagging, auto-репорттор макулдугу боюнча.

• GDPR: колдонуучулардын макулдугун башкаруу
• Курактык текшерүү жана курактык чыпкалар
• Жарнамалык стандарттар жана тыюу салуулар/Жарнамалык Дисклеймерлер жана чындык
• Бонустук шарттардын ачыктыгы
• Юрисдикциялар боюнча маалыматтарды локалдаштыруу
• Dashboard комплаенс жана мониторинг/Ички жана тышкы аудит