Бисквитки и съгласие (CMP)

CMP (Consent Management Platform) — това е банер за съгласие за бисквитки плюс механика, която реално блокира скриптове на трети страни, преди посетителят да е натиснал „Приемам“. Една „лента в долната част на екрана“ не е достатъчна за GDPR: преди съгласие аналитиката и рекламните пиксели не трябва да се изпълняват изобщо.

Нашият CMP работи както на нашата витрина, така и на вашия собствен сайт — с един и същ код.

Къде се настройва:

• Маркетинг → „Моят сайт“ → карта „Бисквитки и съгласие“ (за външен сайт);
• или Сайт → „Настройка на сайта“ → секция „Бисквитки и съгласие (CMP)“ (за нашата витрина).

Как да го включите#

1. Вмъкнете в сайта кода за инсталация от раздела „Моят сайт“ — банерът за бисквитки се зарежда първи от всички уиджети, за да могат останалите скриптове да видят вече взетото решение.
2. Включете превключвателя на уиджета.
3. Стартирайте скенера — той ще събере списъка с бисквитки на вашия сайт.
4. Публикувайте страницата „Политика за бисквитки“ или посочете връзка към своя.

Банерът сам определя езика на страницата и се показва на него — преводите на 45 езика вече са готови.

За WordPress има отделен плъгин Cenaly Consent: инсталирате го в своята WP администрация, натискате „Свързване“, избирате локация в отворилия се прозорец — тагът и настройките пристигат сами, не е нужно да вмъквате код на ръка.

Колко струва#

Самият банер и блокирането на тракери са безплатни на всеки план — както на нашата витрина, така и на вашия собствен сайт. Съответствието със закона не се продава на части: 45 езика, автоматично блокиране, Consent Mode v2, център за предпочитания и hosted страница „Политика за бисквитки“ са включени в платформата.

Отделно се продава нивото „Cookies Pro“ — карта „Бисквитки и съгласие“ в Магазина за приложения, 9 $ на месец или 90 $ на година на обект. Това не е достъп до раздела, а обхватът на услугата: по-задълбочено и по-често сканиране на сайта (включително затворени раздели), дълъг журнал за съгласия с експорт-доказателство, собствени правила по държави, пълна настройка на дизайна и текстове-замествания по езици, премахване на баджа „Работи на Cenaly“. Актуалният състав на нивото и цената са на самата карта в магазина.

ИИ-маркирането на неразпознати бисквитки не влиза в нивото и не се продава отделно: то е достъпно на всяко ниво, а всяко извикване се заплаща от ИИ-баланса на акаунта. На брандове в облака Yandex (cenaly.ru) няма автоматичен скенер на сайта (вижте по-долу), затова неговата част от нивото там не работи; журналът за съгласия и експортът там ги има.

Категории и какво се блокира преди съгласие#

Четири стандартни категории:

Докато няма съгласие, скриптовете и iframe на тези категории не се зареждат: адресите им се сверяват с вградения регистър на тракери, а вие можете да добавите свои шаблони. Блокираният iframe (например видео от YouTube) показва заместител с връзка „разреши“.

Допълнително се предават сигнали за съгласие към рекламните системи: Google Consent Mode v2 (преди съгласие — режим без бисквитки), Microsoft UET, Meta (fbq), Clarity Consent API. Отчитат се сигналите на браузъра GPC и Do Not Track.

Срокът на съгласието се настройва (по подразбиране 365 дни, допустимо 30–730), след което банерът пита отново. Отказът на госта се запомня — няма да питаме повторно при всяко посещение. Може да се включи общо съгласие за всички поддомейни и да се посочи връзка към списъка със сайтове, които то покрива.

Режими по държави#

Режимът е поведението на банера, преди гостът да е натиснал нещо. Той се избира така:

1. вашето правило за държавата на госта (ако е зададено),
2. вашият режим по подразбиране,
3. вградената карта на държавите,
4. евристика по часовата зона на браузъра.

Държавата на госта се определя по IP. ⚠️ Това е избор на поведение, което сте настроили вие, а не заключение кой закон е приложим за вас.

Пет режима#

Отделно от режимите има надстройка „уведомление вместо искане на съгласие“: вие я разрешавате и ако отчетът на скенера е доказал, че извън категорията „необходими“ на сайта няма нищо, първият слой съобщава, а не пита. Блокирането тя не премахва: появи ли се нов тракер, той пак ще бъде блокиран до разрешението на госта.

Вградена карта на държавите#

Прилага се, когато не сте задали нито правило за държава, нито свой режим по подразбиране:

• opt-in — 32 държави: 27-те държави от Европейския съюз плюс Исландия, Лихтенщайн и Норвегия (заедно — ЕИП), Великобритания и Швейцария;
• opt-out — САЩ;
• всички останали държави — правило няма: ще се задейства вашият режим по подразбиране, а ако и той не е зададен — евристиката по часовата зона на браузъра (Europe/* → opt-in, America/* → opt-out, в останалите случаи opt-in). Безопасният дефолт е opt-in.

⚠️ Картата е наша настройка по подразбиране, а не юридическа класификация на държавите. Държави, в които е прието да се пита за съгласие, но които не са в картата (Турция, Русия, Бразилия и десетки други), ще попаднат под вашия дефолт или под евристиката. Нужен ви е конкретен режим в конкретна държава — задайте го с правило, а не разчитайте на картата.

⚠️ Определянето на държава по IP не е навсякъде. При брандовете в облака на Yandex (cenaly.ru) няма гео ендпойнт и уиджетът веднага пада на евристиката по часова зона — тя е по-груба: гост от ЕС в пътуване из САЩ ще получи America/* → opt-out. Ако това е важно за вас, задайте режима по подразбиране изрично. Държавата при седем часови зони уиджетът все пак я разпознава (Москва → RU, Истанбул → TR, Тбилиси → GE, Киев → UA, Лондон → GB, Ереван → AM, Тирана → AL): вашето правило за такава държава ще се задейства и при зададен режим по подразбиране.

Къде се настройва: картата „Cookies и съгласие“ → зъбно колело → „Режим на съгласие по подразбиране“ и „Правила по държави“ (държава във формат ISO-2 → режим).

Какво режимът НЕ прави#

• не избира вместо вас юрисдикцията — кой режим да включите във всяка държава, решавате вие (и вашият юрист);
• не променя текстовете на документите: наборът от юридически страници и техните формулировки са отделен инструмент със свои държави, вж. Юридически документи;
• не покрива мобилни приложения — това е скрипт за уеб страници;
• не издава TCF-низ на IAB Europe: ако рекламен партньор изисква именно сертифициран CMP от рамката TCF, нашият банер няма да му е подходящ. Ние предаваме сигналите за съгласие директно — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

Откъде идват обичайните очаквания на пазара#

⚖️ Това са справочни ориентири, а не юридическа консултация и не твърдение, че за вас е приложима една или друга норма. Посочваме първоизточниците, на които сами се опираме; актуалността и приложимостта към вашия бизнес проверявайте с юрист.

Държавите по света са повече от редовете в тази таблица: списъкът е непълен умишлено — изброяваме само това, което сами използваме при настройката на продукта.

Външен вид и текстове#

• Оформление: лента, карта, модален прозорец; позицията — всеки от шестте варианта на ръб/ъгъл.
• Екран за настройки: разгъване в карта или изплъзващ се страничен панел.
• Палитра по елементи отделно за светла и тъмна тема, собствено лого, собствен CSS (до 10 КБ).
• Превключватели на бутоните: кръстче, „Отхвърли всичко“, „Настрой“. Бутонът „Приеми“ не може да бъде скрит, а в opt-in режим админът ще предупреди за рисковете, ако се премахне „Отхвърли“.
• Категориите могат да се изнесат с отметки директно на първия слой на банера.
• Всеки текст на банера се редактира по езици върху нашите преводи.
• Прегледът в акаунта се превключва между desktop, таблет и мобилен.
• Отделно се настройват плаващ бутон „Настройки на cookies“ (вляво/вдясно/изключен) и списъкът със страници, на които банерът не се показва.

Скенер за cookies и декларация#

⚠️ Няма скенер за брандовете в облака на Yandex (cenaly.ru). Там списъкът с cookies за декларацията се води ръчно в същата таблица по-долу — страницата с политиката остава активна, — а вместо искане за съгласие и ИИ-маркиране, които се опират на отчета от сканирането, няма известия.

Скенерът отваря вашия сайт в браузър и събира реалните cookies и странични услуги. Всяка страница се обхожда два пъти — без съгласие (така се виждат нарушения на prior consent) и с пълно съгласие (така се събира пълната декларация):

• обхождане по robots.txt, sitemap.xml и връзки от началните страници, ограничение по брой страници;
• график: месечно или седмично, в акаунта се вижда датата на следващото сканиране;
• история на сканиранията — колко страници са обходени, колко cookies са намерени и колко от тях са нови спрямо предходния път;
• сканиране след вход — за страниците на личния акаунт;
• ИИ-класификатор: непознатите cookies получават предложена категория с обяснение, вие потвърждавате или променяте. Извикването е платено — удържа се от ИИ-баланса на акаунта на всяко ниво.

Декларация за cookies — таблица на всички cookies по категории: име, доставчик, срок на съхранение, предназначение. Могат да се добавят собствени записи, да се редактират описания и преводи. От същата таблица се събира списъкът за банера и за страницата с политиката.

Не бъркайте скенера с публичната страница „Проверка на сайт“: тя е достъпна без вход в акаунта, но чете само изходния HTML на една страница — ще покаже тракерите в кода, наличието на банер за съгласие и нашия таг, а реалните cookies и това, което скриптовете зареждат в браузъра, няма да види. Това е витрина-магнит „да видя какво има на сайта ми“; пълната декларация се събира именно от скенера по-горе.

Страница „Политика за cookies“#

Връзката в банера води или към вашата съществуваща страница, или към документ, който ние генерираме и публикуваме сами: той се събира от резултатите от сканирането, публикува се на 45 езика и се обновява заедно с декларацията — таблицата с cookies в него винаги е актуална.

Ако са нужни и останалите юридически страници (политика за поверителност, условия, връщания, доставка) — вижте Юридически документи.

Дневник на съгласията и отчети#

ℹ️ За брандовете в облака на Yandex (cenaly.ru) дневникът се събира по друг начин, но също толкова пълно. На основната инфраструктура решенията се пренасят в дневника през нощта, а на cenaly.ru — в момента, в който отворите дневника, тенденциите или експорта: първото отваряне за деня може да отнеме няколко секунди повече, но свежите решения се виждат веднага. Форматът, дедупликацията и сроковете за съхранение са общи, затова експортът-доказателство е еднакъв в двата облака.

Дневникът е доказателство за съгласие (proof of consent) в случай на проверка:

• дата, анонимен идентификатор, избрани категории, версия на политиката, държава и език;
• експорт CSV и отделен запис;
• тенденции: прието / отхвърлено / частично по дни и по държави;
• брояч на показванията на банера.

Бутонът „Попитай всички отново сега“ вдига версията на политиката — след съществени промени банерът пита всички наново.

Ограничения#

• Строгият „prior consent“ изисква отделен таг. Чрез единния зареждащ механизъм банерът за cookies се вдига пръв от нашите уиджети, но чужда аналитика, забита в <head> над нашия код, няма да изпревари. Ако е нужно нито един страничен скрипт да не стартира преди отговора на госта, поставете тага на банера на първия ред в <head>, преди всичко останало.
• Счупен или недостъпен конфиг сваля блокировката, а не я включва. Уиджетът е изключен, страницата е в изключенията, конфигът не се е прочел — тракерите на сайта работят както обикновено. Да държим чужд сайт блокиран заради наш срив е недопустимо, затова проверявайте, че банерът наистина се показва.
• Блокира се това, което е известно. Скриптовете и iframe се сверяват с вградения регистър на тракерите; нестандартен или саморъчно написан брояч трябва да се добави със собствен шаблон — иначе ще се зареди преди съгласие.
• Възрастовата бариера 18+ е отделна секция и отделни текстове. Тя е изключена по подразбиране, а надписите ѝ са на английски, руски, грузински и турски с падане на английски, докато самият банер говори на 45 езика: формулировката за своя пазар задайте със собствени текстове.
• Покритието на регионите е настройка, а не сертификация. Вградената карта познава 32 държави с opt-in и САЩ с opt-out, останалото задавате вие с правила; да провери съответствието с вашата юрисдикция банерът не може и не се опитва — подробности и първоизточници в раздела „Режими по държави“.
• Рамка TCF (IAB Europe) при нас няма. Ако рекламна мрежа изисква сертифициран CMP с TCF-низ, нашият банер няма да ѝ свърши работа: ние предаваме съгласието директно — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
• Това е уеб банер. За мобилни приложения (собствени SDK, системни заявки за проследяване) той не е предназначен.
• Банерът не заменя политиката. Връзката към страницата „Политика за cookies“ (нашата публикувана или ваша собствена) трябва да е попълнена — без нея гостът няма къде да види за какво се съгласява.

Отстраняване на неизправности#

Банерът на сайта липсва. Тагът не е вмъкнат или не стои на всички страници на шаблона (натиснете „Провери инсталацията“); в тага има чужд data-domain; превключвателят на уиджета е изключен; промените още не са пристигнали — файловете на уиджетите се раздават през CDN с кеш 5 минути. Тагът, който Google Tag Manager вмъква вече в браузъра, проверката на инсталацията няма да види — това не е грешка, гледайте сайта с очите си; пълният списък на такива случаи — „Какво проверката на инсталацията не вижда“.

Банерът го има, но тракерите се зареждат преди съгласие. Най-вероятно чужд скрипт стои в <head> над нашия таг — преместете нашия таг първи. Вторият чест случай — броячът не е във вградения регистър: добавете адреса му със свой шаблон.

Банерът се показва отново и отново. Проверете срока на съгласието и дали политиката не е била преиздадена: преиздаването вдига версията и банерът пита наново — така е замислено.

Инструменти за диагностика:

• Провери инсталацията — четем изходния HTML на вашата страница и казваме дали кодът е намерен и дали стои вътре в <head>.
• Изпрати кода на разработчика — отваря готово писмо със снипета във вашата пощенска програма.
• Ръководство за Google Tag Manager — как да поставите банера с таг на GTM.
• Режим на отстраняване на грешки: отворете сайта с ?cenaly_consent_debug=1 — в конзолата ще вървят събития на Consent Mode (default/update) и определеният режим на региона, вижда се какво точно получават Google и другите системи.

Свързани раздели#

• Моят сайт — код за инсталация и останалите уиджети
• Юридически документи — политика за поверителност, условия, връщания
• Аналитика — какво се вижда след съгласие

Често задавани въпроси#

Банерът задължителен ли е? Това е въпрос към вашия юрист, а не към нас: задължението зависи от това къде работите, откъде идват посетителите при вас и какви скриптове стоят на сайта. От страна на продукта отговорът е такъв: нашият банер умее пет режима, по подразбиране в 32 държави от ЕИП, Великобритания и Швейцария се включва строг opt-in, в САЩ — opt-out с „Do Not Sell“, в останалите държави поведението задавате вие. Ориентирите и първоизточниците са събрани по-горе, в раздела „Режими по държави“.

Ще блокира ли CMP моята собствена аналитика? Преди съгласие — да, това му е работата. Платформената аналитика при това продължава да брои посещенията в cookieless режим на Consent Mode v2.

Какво ще стане със старите съгласия след промяна на политиката? Нищо, докато не натиснете „Попитай всички отново сега“ или не преиздадете политиката — тогава версията се вдига и банерът пита наново.

Работи ли това, ако сайтът не е на нашата платформа? Да — това е основният сценарий. Един таг на всеки сайт, а за WordPress — плъгинът Cenaly Consent, който поставя тага вместо вас.