Cookies саясаты және CMP жүйелері

1) Мақсаты және саласы

Сәйкестендіргіштерді (cookies, local storage, SDK) заңды сақтау/оқудың және CMP арқылы келісімді басқарудың бірыңғай ережелерін барлық беттерде орнату: веб, iOS/Android, e-mail/SMS/push, аффилиирленген лендингтер, стримдер. Құжат мыналарды толықтырады: «GDPR: келісімді басқару», «Жасын тексеру», «Жарнамалық стандарттар».

2) Құқықтық негіздер (қысқаша)

ePrivacy: кез келген ұдайы емес қажетті cookies/SDK - тек келісімнен кейін. «Қатаң қажетті» (аутентификация, себет/баланс, қауіпсіздік/антифрод) - келісімсіз жол беріледі.
GDPR: өңдеудің заңды негізі ретінде келісім (Art. 6(1)(a)); сервистік операциялар үшін - шарттық қажеттілік (Art. 6(1)(b)); заңды мүдде - шектеулі және қарсылық білдіру құқығымен.
Балалар/осал: маркетингтік/дербес сәйкестендіргіштер - тыйым салынған.

3) Қағидаттар

1. Prior Consent: CMP таңдағанға дейін қажет емес тегтер жоқ.
2. Мақсаттардың бөлінуі: талдау, дербестендіру, маркетинг, ремаркетинг, геолокация, A/B - жеке тумблерлер.
3. Пікір = нұқу бойынша: келісім сияқты қарапайым; өңдеуді дереу тоқтату.
4. Қараңғы үлгілерсіз: «Барлығын қабылдау »/« Барлығын қабылдамау »/« Баптау».
5. Дәлелденуі: мәтіндердің, хэштердің, UI скриншоттарының, firing-ережелер логтарының нұсқалары.
6. Барынша азайту/оқшаулау: рұқсат етілген өңірлерде қажеттіні ғана қоямыз және сақтаймыз.

4) Рөлдер және RACI

DPO/Compliance (Owner) - саясат, DPIA, шағымдарға жауаптар. (A)

Legal - мәтіндер, жергілікті талаптар және сақтау мерзімдері. (R)

Product/UX - баннерлер/панельдер, қол жетімділік және локальдар. (R)

Engineering/CMP Owner - тегтердің бұғатталуы, SDK, API, нұсқалар. (R)

Data/Analytics - де-сәйкестендіру режимдері, келісімдерді ескере отырып өлшеу. (C)

CRM/Ads - қайтарып алынған келісімдер бойынша suppression. (R)

InfoSec - шифрлау, кілттер, келісім логтарына қатынау. (C)

Internal Audit - дәлелдемелерді іріктеу, CAPA. (C)

5) Cookies/SDK таксономиясы

• Сессия/аутентификация, баланс/себет, фродтан қорғау және жүктемелік бөлу, жекелікті таңдауды сақтау.

• Аналитика (user-level, кросс-девайс ID).
• Дербестендіру (контент/ойындар, ұсынымдар).
• Маркетинг (e-mail/SMS/push - арналар бөлек).
• Ремаркетинг/Ads (үшінші тұлғалардың пиксельдері/SDK).
• A/B-тестілеу (егер сәйкестендіргіштерді пайдаланса).
• «Қала/өңір» геолокациясы (майлы емес).

6) CMP: UX-үлгілер және мәтіндер

Бірінші қабат (баннер): қысқаша мақсат, 3 бірдей түймешік: Барлығын қабылдамау/Теңшеу/Барлығын қабылдау.
Екінші қабат (панель): мақсаттар тумблерлері, вендорлар тізімі және сақтау мерзімі, саясатқа сілтеме.
Преференц-орталық: ойыншы бейінінде - маркетингтің арналық жалаулары (e-mail/SMS/push/телефон), «Барлығынан жазылудан бас тарту».
Қол жетімділік: контраст AA +, фокус-тұзақ, screen-readers, локализация, мобильді бейімделу.
GPC/Do Not Track: жаһандық сигнал = бәрін қабылдамау (қатаң қажеттілерден басқа).
Apps: in-app CMP + жүйелік OS-prompts; сервер профилімен үндестіру.

7) IAB TCF 2. 2 (қаңқа)

TC-жолдарын генерациялау және сақтау, вендор-парақ нұсқасы, мақсаттардың маппингі біздің жалаулар.
TC (prior consent) алынғанға дейін үшінші тегтерді бұғаттау.
Әрбір вендер және мақсат бойынша рұқсаттарды/тыйым салуларды құрметтеу.
TCF-нен тыс нарықтар үшін - ұқсас журналданған кастомдық CMP.

8) Тегтер, Tag Manager және Server-side

Deny by default: TM ережелері барлық қажетті емес тегтерді келісімге дейін бұғаттайды.
Server-side tagging: келісім болмаған кезде идентификаторларды нөлдейтін/жасыратын прокси-контур; теңшелім рұқсат етілген аймақта сақталады.
SDK-гейттер: маркетингтік/талдамалық SDK-ны тек мақсаттың true-жалауы кезінде бастамалау.
Firing-логи: кім/не/қашан «атылды», келісімнің қандай мәртебесі бар.

9) Деректер, артефактілер және ретенция (ең аз модель)

consent_id, user_id/device_id, market, locale,
ui_variant_id, policy_version, tcf_string, vendors[],
purpose_id, status{accept    deny    withdraw}, source{web    app    sdk    api},
captured_at_utc, ip_hash, ua_hash, gpc{true    false},
evidence{banner_screenshot_id, copy_hash}, expires_at

WORM-келісімдер/пікірлер журналдары, мәтіндер нұсқалары, UI-нұсқалардың скриншоттары.
Ретенция: мақсат/қатынас қолданыста болғанша + жергілікті мерзімдер; маркетинг - шектеулі (жиі 24 ай ≤ белсенді емес).

10) Интеграция: CRM/Ads/Аффилиаттар

Suppression: пікір → арналар мен ремаркетингті дереу тоқтату (near-real-time + түнгі бэтчтер).
E-mail/SMS: арна үшін анық true кезінде ғана тарату (нарықтар бойынша double opt-in).
Аффилиаттар: СМР/валидтік келісім мәртебесі жоқ лиддер - сараланбайды; version/hash шарттары - міндетті.

11) Аймақтық профильдер (үлгі)

Market: ______
Required banner elements:...
Retention and localization:...
Requirements for TCF/vendor lists:...
GPC/DNT status:...
Documents/mandatory links:...

12) Бақылау, тесттер және аудит

CI-линтер: «Барлығын қабылдамау», GPC-өңдеу, тегтерді келісуге дейін бұғаттаудың болуын тексеру.
E2E-тесттер: accept/deny/withdraw → CRM-дегі firing-логтарды тексеру және suppression сценарийлері.
Іріктемелер: UI келісімдер мен скриншоттар жазбаларының тоқсандық аудиті; мәтін нұсқаларын салыстыру.
Оқиғалар: кез келген тегті келісімсіз іске қосу → дереу takedown, себеп/фикс, CAPA.

13) KPI/KRI және дашборд

Мақсаттар/нарықтар/құрылғылар бойынша Opt-in Rate.
Withdraw Rate және Time-to-Apply (медиана).
GPC Honor Rate (дұрыс өңдеу globe. сигнал).
Tag Firing Violations (1k жүктеуге).
Suppression Integrity (қайтарып алу кезіндегі маркетинг = 0).
Complaint Rate / Reg Findings.
Auditability Score (артефактілердің толық пакетімен жазбалар%).

14) Чек парақтары

Бастау алдында

• «Бәрін қабылдамау» баннері, жергілікті, қол жетімділік AA +.
• Мақсаттар санаттары мен вендорлар тізімі келісілді (Legal/DPO).
• Tag Manager: deny-by-default; SDK гейттері.
• GPC танылады және қолданылады.
• Арналық жалаулары бар преференция орталығы және «Барлығынан жазылудан бас тарту».
• WORM-дәлелдемелер қоймасы қосылған.

Операцияларда

• Firing-бұзушылықтар мен GPC мониторингі.
• CRM/Ads бағдарламасында suppression салыстыру.
• DSAR ағымдағы күй мен журналды қайтарады.

Аудит/жақсарту

• Келісімдер мен UI-скриншоттардың тоқсандық іріктемелері.
• A/B - қараңғы паттерндердің болмауына баннердің ревюімен.
• Аймақтық профильдер мен мәтіндерді жаңарту.

15) Үлгілер (жылдам кірістіру)

A) Баннер (бірінші қабат)

B) панелі («Ремаркетинг/Ads» мақсаты)

С) Келісімді кері қайтарып алу (растау)

D) Шағымға «бас тарту мүмкін емес» деген жауап

16) Техникалық қаңқа және оқиғалар

События: `cmp_banner_shown`, `consent_given/denied/withdrawn`, `gpc_detected`, `tag_fired_blocked`, `sdk_initialized/blocked`, `marketing_unsubscribed`, `dsar_fulfilled`.

• `GET /consents? user_id=…`
• `POST /consents` (create/withdraw/update)
• `POST /marketing/preferences`
• `POST /gpc/signal`
• Инфрақұрылым: келісімнің серверлік кэші, логтарды гео-байластыру, deny кезінде идентификаторларды жасыру.

17) Тәуекелдер және алдын алу

Келісім бойынша тегтерді іске қосу. → Deny-by-default, E2E-тесттер, дабылдар.
Баннердегі қараңғы үлгілер. → Дизайн-ревью, түймелердің көрінуіне тең.
CRM/Ads. → Бірыңғай suppression-сервис және күнделікті салыстыру.
Артық идентификаторларды жинау. → Ең аз, бүркемелеу, өңірлік профильдер.
Дәлелдемелердің жоқтығы. → WORM-дегі скриншоттар/хэштер/логтар.

18) 30 күндік енгізу жоспары

1 апта

1. Cookies/мақсаттар таксономиясы және мәтіндер (локальдар) бекітілсін; DPIA.
2. CMP (TCF 2. 2 + кастомдық мақсаттар), GPC қосыңыз.
3. Деректер/артефактілер моделін, WORM-сақтау орнын ерекшелендіру.

2 апта

4) Tag Manager-да deny-by-default, серверлік келісім кэшін, SDK-гейттерді іске асыру.
5) Преференция-орталығын салу (арналық жалаулар, «Барлығынан жазылудан бас тарту»).
6) CRM/Ads және аффилиат-фидтерде suppression баптау.

3 апта

7) Трафиктің 10-20% -на ұшқыш: Opt-in/Withdraw/GPC Honor, firing-log тесті.
8) Фидбек және инциденттер бойынша UX/көшірме/TM ережелерін түзету.

4 апта

9) Толық релиз; KPI/KRI дашборды және алаңдарды қосу.
10) Тоқсандық аудит жоспары және CAPA.
11) v1 жоспары. 1: server-side tagging барлық нарықтар үшін, келісім бойынша авто-репорттар.

• GDPR: пайдаланушылардың келісімін басқару
• Жасын тексеру және жас сүзгілері
• Жарнамалық стандарттар және тыйым салулар/Дисклеймерлер және жарнаманың шынайылығы
• Бонустық шарттардың ашықтығы
• Юрисдикциялар бойынша деректерді оқшаулау
• Дашборд комплаенс және мониторинг/Ішкі және сыртқы аудит