Cookies và sự đồng ý (CMP)

CMP (Consent Management Platform) — là banner xin sự đồng ý về cookies cùng cơ chế thực sự chặn các script của bên thứ ba trước khi khách truy cập nhấn “Chấp nhận”. Chỉ một “thanh thông báo ở cuối màn hình” là chưa đủ cho GDPR: trước khi có sự đồng ý, các công cụ phân tích và pixel quảng cáo không được phép chạy.

CMP của chúng tôi hoạt động cả trên cửa hàng của chúng tôi lẫn trên website riêng của bạn — bằng cùng một đoạn mã.

Nơi cấu hình:

• Marketing → “Website của tôi” → thẻ “Cookies và sự đồng ý” (cho website bên ngoài);
• hoặc Website → “Cấu hình website” → mục “Cookies và sự đồng ý (CMP)” (cho cửa hàng của chúng tôi).

Cách bật#

1. Dán mã cài đặt vào website từ mục “Website của tôi” — banner cookie được tải đầu tiên trong tất cả các widget, để các script còn lại thấy được quyết định đã được chấp nhận.
2. Bật công tắc của widget.
3. Chạy máy quét — nó sẽ thu thập danh sách cookies của website bạn.
4. Xuất bản trang “Chính sách cookies” hoặc dán liên kết đến trang của bạn.

Banner tự nhận diện ngôn ngữ của trang và hiển thị theo ngôn ngữ đó — bản dịch sang 45 ngôn ngữ đã có sẵn.

Với WordPress có plugin riêng Cenaly Consent: bạn cài nó trong trang quản trị WP của mình, nhấn “Kết nối”, chọn vị trí trong cửa sổ mở ra — thẻ và cấu hình tự động được đưa về, không cần dán mã thủ công.

Chi phí là bao nhiêu#

Bản thân banner và việc chặn tracker là miễn phí trên mọi gói — cả trên cửa hàng của chúng tôi lẫn trên website riêng của bạn. Việc tuân thủ pháp luật không được bán theo từng phần: 45 ngôn ngữ, tự động chặn, Consent Mode v2, trung tâm tùy chọn và trang “Chính sách cookies” dạng hosted đều nằm trong nền tảng.

Riêng cấp độ “Cookies Pro” được bán riêng — thẻ “Cookies và sự đồng ý” trong Cửa hàng ứng dụng, 9 $ mỗi tháng hoặc 90 $ mỗi năm cho mỗi chi nhánh. Đây không phải là quyền truy cập vào mục, mà là quy mô dịch vụ: quét website sâu hơn và thường xuyên hơn (kể cả các mục riêng tư), nhật ký đồng ý dài hạn kèm xuất dữ liệu làm bằng chứng, quy tắc riêng theo quốc gia, tùy chỉnh thiết kế đầy đủ và ghi đè văn bản theo ngôn ngữ, gỡ bỏ badge “Chạy trên Cenaly”. Thành phần hiện tại của cấp độ và giá — có ngay trên thẻ trong cửa hàng.

Việc đánh dấu bằng AI các cookies chưa nhận diện không nằm trong cấp độ và không được bán riêng: nó khả dụng ở mọi cấp độ, và mỗi lần gọi được thanh toán từ số dư AI của tài khoản. Trên các thương hiệu trong đám mây Yandex (cenaly.ru) không có máy quét website tự động (xem bên dưới), nên phần đó của cấp độ không hoạt động ở đó; nhật ký đồng ý và xuất dữ liệu thì có.

Các danh mục và những gì bị chặn trước khi đồng ý#

Bốn danh mục tiêu chuẩn:

Khi chưa có sự đồng ý, các script và iframe thuộc những danh mục này không được tải: địa chỉ của chúng được đối chiếu với sổ đăng ký tracker tích hợp, và bạn có thể thêm các mẫu của riêng mình. Iframe bị chặn (ví dụ video từ YouTube) hiển thị placeholder kèm liên kết “cho phép”.

Ngoài ra, các tín hiệu đồng ý được truyền đến hệ thống quảng cáo: Google Consent Mode v2 (trước khi đồng ý — chế độ không cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Các tín hiệu trình duyệt GPC và Do Not Track cũng được tính đến.

Thời hạn hiệu lực của sự đồng ý có thể cấu hình (mặc định 365 ngày, cho phép 30–730), sau đó banner sẽ hỏi lại. Việc khách từ chối được ghi nhớ — chúng tôi sẽ không hỏi lại mỗi lần truy cập. Có thể bật sự đồng ý chung cho tất cả tên miền phụ và dán liên kết đến danh sách các website mà nó bao phủ.

Chế độ theo quốc gia#

Chế độ là hành vi của banner trước khi khách truy cập nhấn vào bất cứ thứ gì. Nó được chọn như sau:

1. quy tắc của bạn cho quốc gia của khách truy cập (nếu đã đặt),
2. chế độ mặc định của bạn,
3. bản đồ quốc gia tích hợp,
4. suy đoán theo múi giờ của trình duyệt.

Quốc gia của khách truy cập được xác định theo IP. ⚠️ Đây là lựa chọn hành vi do bạn cấu hình, không phải kết luận về việc luật nào áp dụng cho bạn.

Năm chế độ#

Tách biệt với các chế độ là tùy chọn bổ sung “thông báo thay vì yêu cầu Đồng ý”: bạn bật nó, và nếu báo cáo Máy quét đã chứng minh rằng ngoài danh mục “cần thiết” không có gì trên trang web, lớp đầu tiên sẽ thông báo chứ không hỏi. Nó không gỡ bỏ việc chặn: một trình theo dõi mới xuất hiện — nó vẫn sẽ bị chặn cho đến khi khách truy cập cho phép.

Bản đồ quốc gia tích hợp#

Được áp dụng khi bạn chưa đặt quy tắc cho quốc gia, cũng chưa đặt chế độ mặc định của riêng mình:

• opt-in — 32 quốc gia: 27 quốc gia Liên minh châu Âu cộng Iceland, Liechtenstein và Na Uy (cùng nhau — EEA), Vương quốc Anh và Thụy Sĩ;
• opt-out — Hoa Kỳ;
• tất cả các quốc gia còn lại — không có quy tắc: chế độ mặc định của bạn sẽ được áp dụng, và nếu nó cũng chưa được đặt — suy đoán theo múi giờ của trình duyệt (Europe/* → opt-in, America/* → opt-out, các trường hợp còn lại là opt-in). Mặc định an toàn — opt-in.

⚠️ Bản đồ là cấu hình mặc định của chúng tôi, không phải phân loại pháp lý các quốc gia. Những quốc gia nơi việc hỏi Đồng ý là thông lệ nhưng không có trong bản đồ (Thổ Nhĩ Kỳ, Nga, Brazil và hàng chục quốc gia khác) sẽ thuộc mặc định của bạn hoặc thuộc suy đoán. Cần một chế độ cụ thể ở một quốc gia cụ thể — hãy đặt nó bằng quy tắc, đừng dựa vào bản đồ.

⚠️ Xác định quốc gia theo IP không phải ở đâu cũng có. Trên các thương hiệu trong Đám mây Yandex (cenaly.ru) không có endpoint địa lý, và Widget ngay lập tức rơi vào suy đoán theo múi giờ — nó thô hơn: khách truy cập từ EU đang đi du lịch ở Hoa Kỳ sẽ nhận America/* → opt-out. Nếu điều này quan trọng với bạn, hãy đặt chế độ mặc định một cách rõ ràng. Quốc gia của bảy múi giờ thì Widget vẫn nhận ra (Moscow → RU, Istanbul → TR, Tbilisi → GE, Kyiv → UA, London → GB, Yerevan → AM, Tirana → AL): quy tắc của bạn cho quốc gia như vậy sẽ hoạt động ngay cả khi đã đặt chế độ mặc định.

Nơi cấu hình: thẻ “Cookies và Đồng ý” → biểu tượng bánh răng → “Chế độ Đồng ý mặc định” và “Quy tắc theo quốc gia” (quốc gia ở định dạng ISO-2 → chế độ).

Chế độ KHÔNG làm gì#

• không chọn thay bạn thẩm quyền pháp lý — bật chế độ nào ở mỗi quốc gia là do bạn quyết định (và luật sư của bạn);
• không thay đổi nội dung văn bản tài liệu: bộ trang pháp lý và cách diễn đạt của chúng là một công cụ riêng với các quốc gia riêng, xem Tài liệu pháp lý;
• không bao phủ Ứng dụng di động — đây là script cho trang web;
• không cung cấp chuỗi TCF của IAB Europe: nếu đối tác quảng cáo yêu cầu đúng CMP được chứng nhận từ khung TCF, banner của chúng tôi sẽ không phù hợp với họ. Chúng tôi truyền tín hiệu Đồng ý trực tiếp — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

Những kỳ vọng quen thuộc của thị trường đến từ đâu#

⚖️ Đây là các mốc tham khảo, không phải tư vấn pháp lý và không phải khẳng định rằng một quy định nào đó áp dụng cho bạn. Chúng tôi dẫn các nguồn gốc mà chính chúng tôi dựa vào; hãy kiểm tra tính cập nhật và khả năng áp dụng cho doanh nghiệp của bạn với luật sư.

Trên thế giới có nhiều quốc gia hơn số dòng trong bảng này: danh sách cố ý không đầy đủ — chúng tôi chỉ liệt kê những gì chính chúng tôi dùng khi cấu hình sản phẩm.

Giao diện và nội dung văn bản#

• Bố cục: thanh ngang, thẻ, cửa sổ phương thức; vị trí — bất kỳ lựa chọn nào trong sáu kiểu cạnh/góc.
• Màn hình cài đặt: mở rộng trong thẻ hoặc bảng bên trượt ra.
• Bảng màu theo từng thành phần riêng cho chủ đề sáng và tối, logo riêng, CSS riêng (tối đa 10 KB).
• Nút bật/tắt: dấu X, "Từ chối tất cả", "Tùy chỉnh". Không thể ẩn nút "Chấp nhận", và ở chế độ opt-in, trang quản trị sẽ cảnh báo về rủi ro nếu bỏ "Từ chối".
• Có thể đưa các danh mục ra dưới dạng hộp kiểm ngay trên lớp đầu tiên của banner.
• Mọi văn bản của banner đều chỉnh được theo ngôn ngữ đè lên bản dịch của chúng tôi.
• Bản xem trước trong trang quản trị chuyển đổi giữa desktop, máy tính bảng và di động.
• Riêng nút nổi "Cài đặt cookies" được cấu hình (trái/phải/tắt) và danh sách các trang không hiển thị banner.

Máy quét cookies và khai báo#

⚠️ Không có máy quét trên các thương hiệu trong đám mây Yandex (cenaly.ru). Ở đó, danh sách cookies cho khai báo được quản lý thủ công trong cùng bảng bên dưới — trang chính sách vẫn hoạt động — còn thông báo thay cho yêu cầu đồng ý và đánh dấu bằng AI, vốn dựa trên báo cáo quét, thì không có.

Máy quét mở trang web của bạn trong trình duyệt và thu thập cookies thực tế cùng các dịch vụ bên thứ ba. Mỗi trang được duyệt hai lần — không có đồng ý (như vậy thấy được vi phạm prior consent) và có đồng ý đầy đủ (như vậy thu thập khai báo đầy đủ):

• duyệt theo robots.txt, sitemap.xml và các liên kết từ trang bắt đầu, giới hạn số trang;
• lịch trình: hàng tháng hoặc hàng tuần, trong trang quản trị hiển thị ngày quét tiếp theo;
• lịch sử quét — bao nhiêu trang đã duyệt, bao nhiêu cookies tìm thấy và bao nhiêu trong đó là mới so với lần trước;
• quét khi đã đăng nhập — cho các trang khu vực tài khoản cá nhân;
• bộ phân loại AI: các cookies lạ nhận được danh mục đề xuất kèm giải thích, bạn xác nhận hoặc thay đổi. Lệnh gọi có tính phí — trừ từ số dư AI của tài khoản ở bất kỳ cấp độ nào.

Khai báo cookies — bảng tất cả cookies theo danh mục: tên, nhà cung cấp, thời hạn lưu, mục đích. Có thể thêm bản ghi của riêng bạn, sửa mô tả và bản dịch. Từ chính bảng này, danh sách cho banner và cho trang chính sách được tổng hợp.

Đừng nhầm máy quét với trang công khai «Kiểm tra trang web»: trang này truy cập được không cần đăng nhập trang quản trị, nhưng chỉ đọc HTML nguồn của một trang — sẽ hiển thị các trình theo dõi trong mã, sự hiện diện của banner đồng ý và thẻ của chúng tôi, còn cookies thực tế và những gì script tải trong trình duyệt thì không thấy. Đây là trang trưng bày dẫn dụ "xem trên trang web của tôi có gì"; khai báo đầy đủ do chính máy quét ở trên thu thập.

Trang «Chính sách cookies»#

Liên kết trong banner dẫn đến trang hiện có của bạn, hoặc đến tài liệu mà chúng tôi tự tạo và đăng: tài liệu được tổng hợp từ kết quả quét, xuất bản bằng 45 ngôn ngữ và cập nhật cùng với khai báo — bảng cookies trên đó luôn sống động.

Nếu cần cả các trang pháp lý khác (chính sách bảo mật, điều khoản, hoàn trả, giao hàng) — xem Tài liệu pháp lý.

Nhật ký đồng ý và báo cáo#

ℹ️ Trên các thương hiệu trong đám mây Yandex (cenaly.ru), nhật ký được thu thập khác đi, nhưng vẫn đầy đủ như vậy. Trên hạ tầng chính của giải pháp, các quyết định được chuyển vào nhật ký vào ban đêm, còn trên cenaly.ru — vào thời điểm bạn mở nhật ký, xu hướng hoặc bản xuất: lần mở đầu tiên trong ngày có thể mất thêm vài giây, nhưng bù lại các quyết định mới nhất hiển thị ngay. Định dạng, khử trùng lặp và thời hạn lưu trữ là chung, nên bản xuất làm bằng chứng giống nhau ở cả hai đám mây.

Nhật ký là bằng chứng đồng ý (proof of consent) phòng khi kiểm tra:

• ngày, mã định danh ẩn danh, các danh mục đã chọn, phiên bản chính sách, quốc gia và ngôn ngữ;
• xuất CSV và bản ghi riêng;
• xu hướng: chấp nhận / từ chối / một phần theo ngày và theo quốc gia;
• bộ đếm số lần hiển thị banner.

Nút "Hỏi lại tất cả ngay bây giờ" nâng phiên bản chính sách — sau những thay đổi quan trọng, banner sẽ hỏi lại tất cả.

Hạn chế#

• «Prior consent» nghiêm ngặt cần một thẻ riêng. Qua bộ tải chung, banner cookie được nâng lên đầu tiên trong các widget của chúng tôi, nhưng nó không vượt trước được phân tích của bên khác gắn trong <head> phía trên mã của chúng tôi. Nếu cần không một script bên thứ ba nào khởi động trước khi khách trả lời, hãy đặt thẻ banner ở dòng đầu tiên trong <head>, trước tất cả các thẻ khác.
• Cấu hình hỏng hoặc không truy cập được sẽ gỡ bỏ chặn, chứ không bật nó lên. Widget bị tắt, trang nằm trong danh sách loại trừ, cấu hình không đọc được — các trình theo dõi trên trang web hoạt động như bình thường. Không thể giữ trang web của người khác bị chặn vì sự cố của chúng tôi, nên hãy kiểm tra rằng banner thực sự hiển thị.
• Chỉ chặn được những gì đã biết. Script và iframe được đối chiếu với sổ đăng ký trình theo dõi tích hợp; bộ đếm không chuẩn hoặc tự viết cần được thêm bằng mẫu của riêng bạn — nếu không nó sẽ tải trước khi có đồng ý.
• Cổng độ tuổi 18+ — là một mục riêng và văn bản riêng. Nó tắt theo mặc định, và các dòng chữ của nó có bằng tiếng Anh, tiếng Nga, tiếng Gruzia và tiếng Thổ Nhĩ Kỳ với dự phòng sang tiếng Anh, trong khi bản thân banner nói 45 ngôn ngữ: hãy đặt cách diễn đạt cho thị trường của bạn bằng văn bản của riêng bạn.
• Phạm vi khu vực là một cài đặt, không phải chứng nhận. Bản đồ tích hợp biết 32 quốc gia với opt-in và Hoa Kỳ với opt-out, phần còn lại do bạn đặt bằng quy tắc; banner không thể và không cố kiểm tra sự tuân thủ thẩm quyền pháp lý của bạn — chi tiết và nguồn gốc trong mục «Chế độ theo quốc gia».
• Chúng tôi không có framework TCF (IAB Europe). Nếu mạng quảng cáo yêu cầu CMP được chứng nhận với chuỗi TCF, banner của chúng tôi không phù hợp với họ: chúng tôi truyền đồng ý trực tiếp — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
• Đây là banner web. Nó không dành cho ứng dụng di động (SDK riêng, yêu cầu theo dõi hệ thống).
• Banner không thay thế chính sách. Liên kết đến trang «Chính sách cookies» (do chúng tôi xuất bản hoặc của riêng bạn) phải được điền — không có nó, khách không có chỗ nào để xem mình đang đồng ý điều gì.

Xử lý sự cố#

Không có banner trên trang. Thẻ chưa được chèn hoặc không có trên tất cả các trang của mẫu (nhấn “Kiểm tra cài đặt”); thẻ có data-domain của người khác; công tắc của Widget đang tắt; các thay đổi chưa được cập nhật — tệp của Widget được phân phối qua CDN với bộ nhớ đệm 5 phút. Thẻ được chèn ngay trong trình duyệt bởi Google Tag Manager sẽ không được kiểm tra cài đặt phát hiện — đây không phải lỗi, hãy xem trang bằng mắt; danh sách đầy đủ các trường hợp như vậy — “Những gì kiểm tra cài đặt không thấy”.

Có banner nhưng các trình theo dõi tải trước khi Đồng ý. Nhiều khả năng là script của người khác nằm trong <head> phía trên thẻ của chúng ta — hãy chuyển thẻ của chúng ta lên đầu. Trường hợp phổ biến thứ hai là bộ đếm không có trong sổ đăng ký tích hợp: hãy thêm địa chỉ của nó bằng mẫu của bạn.

Banner hiển thị lặp đi lặp lại. Hãy kiểm tra thời hạn hiệu lực của Đồng ý và xem chính sách có được phát hành lại không: việc phát hành lại sẽ nâng phiên bản, và banner hỏi lại — đúng như thiết kế.

Công cụ chẩn đoán:

• Kiểm tra cài đặt — đọc HTML nguồn của trang bạn và cho biết mã có được tìm thấy không và có nằm trong <head> không.
• Gửi mã cho nhà phát triển — mở email soạn sẵn kèm đoạn mã trong chương trình thư của bạn.
• Hướng dẫn về Google Tag Manager — cách đặt banner bằng thẻ GTM.
• Chế độ gỡ lỗi: mở trang với ?cenaly_consent_debug=1 — các sự kiện Consent Mode (default/update) và chế độ khu vực được xác định sẽ đi vào bảng điều khiển, cho thấy chính xác những gì Google và các hệ thống khác nhận được.

Các mục liên quan#

• Trang của tôi — mã cài đặt và các Widget khác
• Tài liệu pháp lý — chính sách bảo mật, điều khoản, hoàn tiền
• Phân tích — những gì thấy được sau khi Đồng ý

Câu hỏi thường gặp#

Banner có bắt buộc không? Đây là câu hỏi dành cho luật sư của bạn, không phải cho chúng tôi: nghĩa vụ phụ thuộc vào nơi bạn hoạt động, khách truy cập đến từ đâu và những script nào có trên trang. Về phía sản phẩm, câu trả lời như sau: banner của chúng tôi có năm chế độ, theo mặc định ở 32 quốc gia EEA, Vương quốc Anh và Thụy Sĩ sẽ bật opt-in nghiêm ngặt, ở Hoa Kỳ — opt-out với “Do Not Sell”, ở các quốc gia còn lại hành vi do bạn thiết lập. Các định hướng và nguồn gốc được tổng hợp ở trên, trong mục “Chế độ theo quốc gia”.

CMP có chặn phân tích của chính tôi không? Trước khi Đồng ý — có, đó là công việc của nó. Phân tích của nền tảng vẫn tiếp tục đếm lượt truy cập ở chế độ cookieless của Consent Mode v2.

Điều gì sẽ xảy ra với các Đồng ý cũ sau khi sửa chính sách? Không có gì, cho đến khi bạn nhấn “Hỏi lại tất cả ngay bây giờ” hoặc phát hành lại chính sách — khi đó phiên bản sẽ được nâng lên và banner hỏi lại.

Điều này có hoạt động nếu trang không nằm trên nền tảng của chúng tôi không? Có — đây là kịch bản chính. Một thẻ trên bất kỳ trang nào, và với WordPress — plugin Cenaly Consent, plugin này đặt thẻ thay bạn.