Использование Microsoft Clarity в соответствии с GDPR

Microsoft Clarity (clarity.ms) предоставляет тепловые карты и записи сеансов и передаёт данные в Microsoft (США).

То, что Clarity бесплатен, ничего не меняет в правовой ситуации: запись сессий и тепловые карты фиксируют поведение отдельных посетителей и поэтому однозначно требуют согласия. Microsoft по собственным данным использует агрегированные данные также в собственных целях — что делает квалификацию как простого обработчика спорной, а надёжный договор об обработке и проверку совместного контроля тем более важными.

Важнейший технический рычаг — маскирование. Если оно установлено на «Balanced» или «Relaxed», ввод открытым текстом и содержимое страницы могут попасть в записи — включая случайно видимые персональные данные третьих лиц. «Strict» маскирует все тексты и ввод и является экономной по данным базовой настройкой.

Для передачи в США действует то же, что и для других сервисов Microsoft: через рамочное соглашение ЕС–США о защите данных передача в Microsoft в принципе покрыта, пока существует сертификация. Это относится к политике конфиденциальности как основание передачи.

Это риск?

Как и для других записей сеанса, действует § 25 ч. 1 TDDDG: использование только после предварительного согласия. Кроме того, требуется договор об обработке данных с Microsoft, а передачу в третью страну нужно обосновать.

Что вы можете сделать

• Классифицируйте Clarity в категорию, требующую согласия, и загружайте его только после этого.
• Установите маскирование на «strict», чтобы текст и ввод не записывались.
• Заключите договор об обработке данных; в политике конфиденциальности укажите Microsoft как получателя и передачу в США.

Частые вопросы

Можно ли использовать Microsoft Clarity без баннера cookie?

Нет. Clarity устанавливает файлы cookie и записывает поведение — это требует согласия согласно § 25 абз. 1 TDDDG. Без активного согласия скрипт не должен загружаться.

Нужен ли мне договор об обработке для Clarity?

Да. Microsoft предоставляет договорные условия; они должны быть задокументированы и внесены в реестр операций обработки. Поскольку Microsoft частично использует данные в собственных целях, дополнительно следует проверить, имеет ли место совместный контроль.

Какой уровень маскирования выбрать?

«Strict». Так в записях маскируются все тексты и ввод в формы, что явно снижает риск случайно записанных персональных данных.

Чем Clarity отличается от Google Analytics с точки зрения GDPR?

Оба требуют согласия. Clarity дополнительно фиксирует конкретные ходы сессий (движения мыши, клики, прокрутку), что глубже вмешивается в частную жизнь, чем агрегированное измерение GA4.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.