Cookies i zgoda (CMP)

CMP (Consent Management Platform) to banner zgody na cookies oraz mechanizm, który faktycznie blokuje skrypty stron trzecich, zanim odwiedzający kliknie „Akceptuję”. Sama „plakietka na dole ekranu” nie wystarczy do RODO: przed wyrażeniem zgody analityka i piksele reklamowe nie powinny być w ogóle uruchamiane.

Nasz CMP działa zarówno na naszej witrynie, jak i na Twojej własnej stronie — tym samym kodem.

Gdzie to skonfigurować:

• Marketing → „Moja strona” → karta „Cookies i zgoda” (dla zewnętrznej strony);
• albo Strona → „Skonfiguruj stronę” → sekcja „Cookies i zgoda (CMP)” (dla naszej witryny).

Jak włączyć#

1. Wklej na stronę kod instalacyjny z sekcji „Moja strona” — banner cookie ładuje się pierwszy ze wszystkich widżetów, aby pozostałe skrypty zobaczyły już podjętą decyzję.
2. Włącz przełącznik widżetu.
3. Uruchom skaner — zbierze listę cookies Twojej strony.
4. Opublikuj stronę „Polityka cookies” lub podaj link do własnej.

Banner sam rozpoznaje język strony i wyświetla się w nim — tłumaczenia na 45 języków są już gotowe.

Dla WordPress jest osobna wtyczka Cenaly Consent: instalujesz ją w swoim panelu WP, klikasz „Połącz”, wybierasz lokalizację w otwartym oknie — tag i ustawienia przychodzą same, nie trzeba wklejać kodu ręcznie.

Ile to kosztuje#

Sam banner i blokowanie trackerów są bezpłatne na każdym planie — i na naszej witrynie, i na Twojej własnej stronie. Zgodność z prawem nie jest sprzedawana na kawałki: 45 języków, autoblokowanie, Consent Mode v2, centrum preferencji i hostowana strona „Polityka cookies” wchodzą w skład platformy.

Osobno sprzedawany jest poziom „Cookies Pro” — karta „Cookies i zgoda” w Sklepie z aplikacjami, 9 $ miesięcznie lub 90 $ rocznie na placówkę. To nie dostęp do sekcji, a skala usługi: głębsze i częstsze skanowanie strony (w tym sekcji zamkniętych), długi dziennik zgód z eksportem-dowodem, własne reguły według krajów, pełna konfiguracja wyglądu i nadpisywanie tekstów według języków, usunięcie plakietki „Działa na Cenaly”. Aktualny skład poziomu i cena — na samej karcie w sklepie.

Oznaczanie nierozpoznanych cookies przez AI nie wchodzi w poziom i nie jest sprzedawane osobno: jest dostępne na każdym poziomie, a każde wywołanie jest opłacane z salda AI konta. Na markach w chmurze Yandex (cenaly.ru) nie ma automatycznego skanera strony (patrz niżej), dlatego jego część poziomu tam nie działa; dziennik zgód i eksport tam są.

Kategorie i co jest blokowane przed zgodą#

Cztery standardowe kategorie:

Dopóki nie ma zgody, skrypty i iframe tych kategorii nie ładują się: ich adresy są sprawdzane z wbudowanym rejestrem trackerów, a Ty możesz dodać własne wzorce. Zablokowany iframe (na przykład wideo z YouTube) pokazuje zaślepkę z linkiem „zezwól”.

Dodatkowo przekazywane są sygnały zgody do systemów reklamowych: Google Consent Mode v2 (przed zgodą — tryb bez cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Uwzględniane są sygnały przeglądarki GPC i Do Not Track.

Czas życia zgody jest konfigurowalny (domyślnie 365 dni, dopuszczalne 30–730), po czym banner zapyta ponownie. Odmowa gościa jest zapamiętywana — nie będziemy pytać ponownie przy każdej wizycie. Można włączyć wspólną zgodę dla wszystkich subdomen i podać link do listy stron, które obejmuje.

Tryby według krajów#

Tryb to zachowanie banera, zanim gość cokolwiek kliknie. Wybiera się go tak:

1. Twoja reguła dla kraju gościa (jeśli jest ustawiona),
2. Twój tryb domyślny,
3. wbudowana mapa krajów,
4. heurystyka na podstawie strefy czasowej przeglądarki.

Kraj gościa jest określany na podstawie IP. ⚠️ To wybór zachowania, które skonfigurowałeś Ty, a nie wniosek o tym, jakie prawo ma do Ciebie zastosowanie.

Pięć trybów#

Niezależnie od trybów istnieje nakładka „powiadomienie zamiast pytania o zgodę”: włączasz ją, a jeśli raport skanera dowiódł, że poza kategorią „niezbędne” na stronie nie ma nic, pierwsza warstwa informuje, a nie pyta. Nie zdejmuje to blokady: pojawi się nowy tracker — i tak zostanie zablokowany do czasu zgody gościa.

Wbudowana mapa krajów#

Stosuje się, gdy nie ustawiłeś ani reguły dla kraju, ani własnego trybu domyślnego:

• opt-in — 32 kraje: 27 krajów Unii Europejskiej plus Islandia, Liechtenstein i Norwegia (razem — EOG), Wielka Brytania i Szwajcaria;
• opt-out — USA;
• wszystkie pozostałe kraje — reguły nie ma: zadziała Twój tryb domyślny, a jeśli i on nie jest ustawiony — heurystyka na podstawie strefy czasowej przeglądarki (Europe/* → opt-in, America/* → opt-out, w pozostałych przypadkach opt-in). Bezpieczny domyślny wybór to opt-in.

⚠️ Mapa to nasze ustawienie domyślne, a nie prawna klasyfikacja krajów. Kraje, w których zwyczajowo pyta się o zgodę, ale których nie ma w mapie (Turcja, Rosja, Brazylia i dziesiątki innych), trafią pod Twój domyślny tryb lub pod heurystykę. Potrzebujesz konkretnego trybu w konkretnym kraju — ustaw go regułą, a nie polegaj na mapie.

⚠️ Określanie kraju po IP nie występuje wszędzie. Na markach w chmurze Yandex (cenaly.ru) nie ma endpointu geolokalizacji i widżet od razu spada na heurystykę po strefie czasowej — jest ona zgrubna: gość z UE w podróży po USA otrzyma America/* → opt-out. Jeśli jest to dla Ciebie ważne, ustaw tryb domyślny jawnie. Kraj siedmiu stref czasowych widżet jednak rozpoznaje (Moskwa → RU, Stambuł → TR, Tbilisi → GE, Kijów → UA, Londyn → GB, Erywań → AM, Tirana → AL): Twoja reguła dla takiego kraju zadziała także przy ustawionym trybie domyślnym.

Gdzie to się konfiguruje: karta „Cookies i zgoda” → ikona koła zębatego → „Domyślny tryb zgody” oraz „Reguły według krajów” (kraj w formacie ISO-2 → tryb).

Czego tryb NIE robi#

• nie wybiera za Ciebie jurysdykcji — jaki tryb włączyć w każdym kraju, decydujesz Ty (i Twój prawnik);
• nie zmienia tekstów dokumentów: zestaw stron prawnych i ich sformułowania to osobne narzędzie z własnymi krajami, zob. Dokumenty prawne;
• nie obejmuje aplikacji mobilnych — to skrypt dla stron internetowych;
• nie wystawia ciągu TCF IAB Europe: jeśli partner reklamowy wymaga właśnie certyfikowanego CMP z frameworku TCF, nasz baner mu nie wystarczy. Przekazujemy sygnały zgody bezpośrednio — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

Skąd biorą się utarte oczekiwania rynkowe#

⚖️ To orientacyjne punkty odniesienia, a nie porada prawna ani twierdzenie, że stosuje się do Ciebie ta czy inna norma. Podajemy źródła pierwotne, na których sami się opieramy; aktualność i zastosowanie do Twojej działalności sprawdź z prawnikiem.

Na świecie jest więcej krajów niż wierszy w tej tabeli: lista jest niepełna celowo — wymieniamy tylko to, z czego sami korzystamy przy konfiguracji produktu.

Wygląd i teksty#

• Układ: pasek, karta, okno modalne; pozycja — dowolny z sześciu wariantów krawędzi/narożnika.
• Ekran ustawień: rozwinięcie w karcie lub wysuwany panel boczny.
• Paleta dla poszczególnych elementów osobno dla motywu jasnego i ciemnego, własne logo, własny CSS (do 10 KB).
• Przełączniki przycisków: krzyżyk, „Odrzuć wszystko”, „Dostosuj”. Przycisku „Akceptuj” nie można ukryć, a w trybie opt-in panel administracyjny ostrzeże o ryzykach, jeśli usuniesz „Odrzuć”.
• Kategorie można wynieść jako pola wyboru bezpośrednio na pierwszą warstwę banera.
• Dowolny tekst banera edytujesz według języków na wierzchu naszych tłumaczeń.
• Podgląd w koncie przełącza się między desktopem, tabletem i telefonem.
• Osobno konfiguruje się pływający przycisk „Ustawienia cookies” (po lewej/po prawej/wyłączony) oraz listę stron, na których baner się nie pokazuje.

Skaner cookies i deklaracja#

⚠️ Skanera nie ma na markach w chmurze Yandex (cenaly.ru). Tam lista cookies do deklaracji jest prowadzona ręcznie w tej samej tabeli poniżej — strona polityki pozostaje aktywna — a zamiast prośby o zgodę i oznaczeń AI, które opierają się na raporcie ze skanu, są tylko powiadomienia.

Skaner otwiera Twoją stronę w przeglądarce i zbiera rzeczywiste cookies oraz usługi zewnętrzne. Każda strona jest odwiedzana dwukrotnie — bez zgody (tak widać naruszenia prior consent) i z pełną zgodą (tak powstaje pełna deklaracja):

• przejście po robots.txt, sitemap.xml i linkach ze stron startowych, z limitem liczby stron;
• harmonogram: co miesiąc lub co tydzień, w koncie widoczna jest data następnego skanu;
• historia skanów — ile stron odwiedzono, ile cookies znaleziono i ile z nich jest nowych w porównaniu z poprzednim razem;
• skan po zalogowaniu — dla stron konta;
• klasyfikator AI: nieznane cookies otrzymują proponowaną kategorię z wyjaśnieniem, którą potwierdzasz lub zmieniasz. Wywołanie jest płatne — jest pobierane z salda AI konta na każdym poziomie.

Deklaracja cookies — tabela wszystkich cookies według kategorii: nazwa, dostawca, okres przechowywania, przeznaczenie. Możesz dodawać własne rekordy, edytować opisy i tłumaczenia. Z tej samej tabeli powstaje lista dla banera i dla strony polityki.

Nie myl skanera z publiczną stroną „Sprawdzenie strony”: jest dostępna bez logowania do konta, ale czyta tylko źródłowy HTML jednej strony — pokaże trackery w kodzie, obecność banera zgody i nasz tag, a nie zobaczy rzeczywistych cookies ani tego, co ładują skrypty w przeglądarce. To witryna-wizytówka „zobacz, co mam na stronie”; pełną deklarację zbiera właśnie skaner powyżej.

Strona „Polityka cookies”#

Link w banerze prowadzi albo do Twojej istniejącej strony, albo do dokumentu, który wygenerujemy i opublikujemy sami: powstaje z wyników skanu, jest publikowany w 45 językach i aktualizowany razem z deklaracją — tabela cookies na nim jest zawsze aktualna.

Jeśli potrzebujesz także pozostałych stron prawnych (polityka prywatności, warunki, zwroty, dostawa) — zobacz Dokumenty prawne.

Dziennik zgód i raporty#

ℹ️ Na markach w chmurze Yandex (cenaly.ru) dziennik jest zbierany inaczej, ale równie kompletnie. W głównej infrastrukturze rozwiązania dane są przenoszone do dziennika w nocy, a na cenaly.ru — w momencie, gdy otwierasz dziennik, trendy lub eksport: pierwsze otwarcie w ciągu dnia może potrwać o kilka sekund dłużej, za to świeże decyzje są widoczne od razu. Format, deduplikacja i okresy przechowywania są wspólne, dlatego eksport-dowód jest taki sam w obu chmurach.

Dziennik to dowód zgody (proof of consent) na wypadek kontroli:

• data, anonimowy identyfikator, wybrane kategorie, wersja polityki, kraj i język;
• eksport CSV i osobnego rekordu;
• trendy: zaakceptowane / odrzucone / częściowe według dni i krajów;
• licznik wyświetleń banera.

Przycisk „Zapytaj wszystkich ponownie teraz” podnosi wersję polityki — po istotnych zmianach baner zapyta wszystkich od nowa.

Ograniczenia#

• Ścisły „prior consent” wymaga osobnego tagu. Przez wspólny loader baner cookies podnosi się jako pierwszy z naszych widżetów, ale nie wyprzedzi cudzej analityki wbitej w <head> powyżej naszego kodu. Jeśli żaden skrypt zewnętrzny nie ma startować przed odpowiedzią gościa, umieść tag banera w pierwszej linii w <head>, przed wszystkimi pozostałymi.
• Zepsuta lub niedostępna konfiguracja zdejmuje blokadę, a nie ją włącza. Widżet wyłączony, strona w wyjątkach, konfiguracja nieodczytana — trackery na stronie działają jak zwykle. Nie można trzymać cudzej strony zablokowanej z powodu naszego błędu, dlatego sprawdzaj, że baner rzeczywiście się pokazuje.
• Blokowane jest to, co znane. Skrypty i iframe są porównywane z wbudowanym rejestrem trackerów; niestandardowy lub własny licznik trzeba dodać własnym wzorcem — inaczej załaduje się przed zgodą.
• Bramka wiekowa 18+ to osobna sekcja i osobne teksty. Jest domyślnie wyłączona, a jej napisy są w języku angielskim, rosyjskim, gruzińskim i tureckim z fallbackiem na angielski, podczas gdy sam baner mówi w 45 językach: sformułowanie dla swojego rynku ustaw własnymi tekstami.
• Pokrycie regionów to ustawienie, a nie certyfikacja. Wbudowana mapa zna 32 kraje z opt-in i USA z opt-out, resztę ustawiasz regułami; baner nie może i nie próbuje sprawdzić zgodności z Twoją jurysdykcją — szczegóły i źródła pierwotne w sekcji „Tryby według krajów”.
• Nie mamy frameworka TCF (IAB Europe). Jeśli sieć reklamowa wymaga certyfikowanego CMP z ciągiem TCF, nasz baner się do tego nie nadaje: przekazujemy zgodę bezpośrednio — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
• To baner internetowy. Nie jest przeznaczony do aplikacji mobilnych (własne SDK, systemowe prośby o śledzenie).
• Baner nie zastępuje polityki. Link do strony „Polityka cookies” (naszej opublikowanej lub Twojej własnej) musi być uzupełniony — bez niego gość nie ma gdzie zobaczyć, na co się zgadza.

Rozwiązywanie problemów#

Banera nie ma na stronie. Tag nie został wstawiony lub nie ma go na wszystkich stronach szablonu (kliknij „Sprawdź instalację”); w tagu jest obca data-domain; przełącznik widżetu jest wyłączony; zmiany jeszcze nie dotarły — pliki widżetów są dostarczane przez CDN z pamięcią podręczną 5 minut. Tag, który wstawia już w przeglądarce Google Tag Manager, nie zostanie wykryty przez sprawdzenie instalacji — to nie błąd, obejrzyj stronę na własne oczy; pełna lista takich przypadków — „Czego nie widzi sprawdzenie instalacji”.

Baner jest, ale trackery ładują się przed zgodą. Najprawdopodobniej obcy skrypt stoi w <head> powyżej naszego tagu — przenieś nasz tag na pierwsze miejsce. Drugi częsty przypadek — licznika nie ma we wbudowanym rejestrze: dodaj jego adres własnym wzorcem.

Baner pokazuje się raz za razem. Sprawdź okres ważności zgody i czy polityka nie została wydana ponownie: ponowne wydanie podnosi wersję, a baner pyta od nowa — tak ma być.

Narzędzia diagnostyczne:

• Sprawdź instalację — czytamy źródłowy HTML Twojej strony i mówimy, czy kod został znaleziony i czy stoi wewnątrz <head>.
• Wyślij kod deweloperowi — otwiera gotową wiadomość ze snippetem w Twoim programie pocztowym.
• Przewodnik po Google Tag Manager — jak umieścić baner tagiem GTM.
• Tryb debugowania: otwórz stronę z ?cenaly_consent_debug=1 — do konsoli trafią zdarzenia Consent Mode (default/update) i określony tryb regionu, widać, co dokładnie otrzymują Google i inne systemy.

Powiązane sekcje#

• Moja strona — kod instalacji i pozostałe widżety
• Dokumenty prawne — polityka prywatności, warunki, zwroty
• Analityka — co widać po zgodzie

Częste pytania#

Czy baner jest obowiązkowy? To pytanie do Twojego prawnika, a nie do nas: obowiązek zależy od tego, gdzie działasz, skąd przychodzą do Ciebie odwiedzający i jakie skrypty stoją na stronie. Ze strony produktu odpowiedź jest taka: nasz baner ma pięć trybów, domyślnie w 32 krajach EOG, Wielkiej Brytanii i Szwajcarii włącza się ścisły opt-in, w USA — opt-out z „Do Not Sell”, w pozostałych krajach zachowanie ustalasz sam. Wytyczne i źródła pierwotne zebrano powyżej, w sekcji „Tryby według krajów”.

Czy CMP zablokuje moją własną analitykę? Przed zgodą — tak, to jego zadanie. Analityka platformy przy tym nadal liczy wizyty w trybie cookieless Consent Mode v2.

Co stanie się ze starymi zgodami po zmianie polityki? Nic, dopóki nie klikniesz „Zapytaj wszystkich ponownie teraz” lub nie wydasz polityki ponownie — wtedy wersja się podniesie i baner zapyta od nowa.

Czy to działa, jeśli strona nie jest na naszej platformie? Tak — to główny scenariusz. Jeden tag na dowolnej stronie, a dla WordPress — wtyczka Cenaly Consent, która wstawia tag za Ciebie.