ניתן לארח את Matomo באופן עצמאי או להשתמש בו כ-Matomo Cloud (שרתים בגרמניה). האם נדרשת הסכמה תלוי בעוגיות, בטיפול בכתובת IP ובאירוח — לא בשם הכלי.
מדידה בלי עוגיות ובלי הסכמה? ב-Matomo יש אפשרות שמכבה עוגיות מעקב („disableCookies” ב-API המעקב, הגדרה של משתנה התצורה של Matomo ב-Matomo Tag Manager). כך נעלם חלק מהגישה למכשיר — אבל לא בהכרח כולה: גם קריאת מאפייני הדפדפן לצורך גיבוב של המבקר עשויה להיכנס לגדר § 25(1) TDDDG. חלק מרשויות הפיקוח בגרמניה רואות במצב הזה, עם קיצור מיידי של כתובת ה-IP, מצב מקובל גם ללא הסכמה, ואחרות זהירות יותר. מי שרוצה לעבוד בלי באנר צריך לתעד את התצורה ולבדוק את עמדת הרשות שלו.
אנונימיזציה ב-Matomo פירושה בעיקר קיצור כתובת ה-IP (פרטיות ← הפיכת נתונים לאנונימיים: לפחות 2 בתים, למשל 192.168.xxx.xxx), ובאופן אופציונלי גם „החלפת מזהה המשתמש בכינוי” והסרת פרמטרים של המפנה. הקיצור צריך להתבצע לפני השמירה, לא רק בדוחות. כדאי גם להפעיל „מחיקה סדירה של נתונים גולמיים ישנים” — Matomo יכול למחוק יומנים גולמיים אוטומטית לאחר פרק זמן קבוע ולשמור רק דוחות מצטברים.
Matomo On-Premise או Matomo Cloud: באירוח עצמי על שרת משלך אין מעבד מידע עבור Matomo עצמו — אבל יש עבור ספק האירוח שבו נמצא השרת. ב-Matomo Cloud, חברת InnoCraft Ltd. (ניו זילנד, אירוח בגרמניה) היא המעבד; הסכם עיבוד הנתונים (DPA) זמין בחשבון הלקוח. לניו זילנד יש החלטת הלימות של הנציבות האירופית.
ל-Matomo נדרש סעיף משלו במדיניות הפרטיות: מטרה (מדידת תנועה), אופן הפעלה (אירוח עצמי או ענן, מיקום השרת), האם מוצבות עוגיות, היקף קיצור ה-IP, בסיס משפטי (הסכמה לפי סעיף 6(1)(א) ל-GDPR ו-§ 25(1) TDDDG — או, בהפעלה ללא עוגיות, ההערכה המנומקת שלך), תקופת שמירת הנתונים הגולמיים והפניה לזכות ההתנגדות. תבנית נותנת רק מסגרת; ההגדרות בפועל חייבות להתאים לה.
אם Matomo מוטמע דרך Matomo Tag Manager או Google Tag Manager, יש לאכוף את ההסכמה שם: תג Matomo יופעל רק לאחר הסכמה, או ש-Matomo פועל בתצורה ללא עוגיות ומקבל לאחר ההסכמה אישור לעוגיות דרך „rememberConsentGiven” או „setCookieConsentGiven”. ל-Matomo אין מצב הסכמה כמו של Google — השליטה נעשית דרך פונקציות ההסכמה האלה ב-API המעקב.
אם Matomo מגדיר עוגיות או קורא מזהים אחרים מהמכשיר, חל § 25 סעיף 1 ל-TDDDG ונדרשת הסכמה מראש. חלק מרשויות הפיקוח רואות בהפעלה ללא עוגיות עם קיצור מיידי של כתובת IP וללא איחוד בין מכשירים כניתנת להגנה ללא הסכמה, אחרות זהירות יותר — אין אישור אחיד ברמה הארצית. עם Matomo Cloud מתווסף הסכם עיבוד עם InnoCraft.
הבדיקה החינמית מנתחת את קוד ה-HTML שסופק ומציגה אילו שירותים מוטמעים, האם זוהה באנר העוגיות, והאם קיימים קישורים למדיניות פרטיות ולפרטי יצירת קשר — עם סיווג לכל ממצא. אינה מהווה תחליף לייעוץ משפטי.
טקסט זה הוא מידע כללי למיטב ידיעתנו, ולא ייעוץ משפטי. למקרה פרטני, פנה למשרד עורכי דין המתמחה בדיני מחשבים ומידע.