Matomo'yu GDPR'ye uygun kullanmak

Matomo kendi kendine barındırılabilir veya Matomo Cloud (Almanya'daki sunucular) olarak kullanılabilir. Onayın gerekli olup olmadığı çerezlere, IP işlemeye ve barındırmaya bağlıdır — aracın adına değil.

Çerezsiz ve onaysız ölçüm mü? Matomo, izleme çerezlerini kapatan bir seçenek sunar (izleme API’sinde “disableCookies”, Matomo Tag Manager’da Matomo yapılandırma değişkeninin bir ayarı). Böylece cihaza erişimin bir kısmı ortadan kalkar — ama tamamı olmayabilir: bir ziyaretçi hash’i için tarayıcı özelliklerinin okunması da TDDDG § 25 fıkra 1 kapsamına girebilir. Bazı Alman denetim makamları, IP’nin hemen kısaltıldığı bu modu onaysız da kabul edilebilir bulur, diğerleri daha temkinlidir. Banner olmadan çalışmak istiyorsan yapılandırmayı belgele ve kendi makamının görüşünü kontrol et.

Matomo’da anonimleştirme öncelikle IP kısaltmadır (Gizlilik → Verileri anonimleştir: en az 2 bayt, ör. 192.168.xxx.xxx); isteğe bağlı olarak “kullanıcı kimliğini takma adla değiştir” ve yönlendiren parametrelerinin kaldırılması da eklenir. Kısaltma yalnızca raporlarda değil, kaydetmeden önce yapılmalıdır. “Eski ham verileri düzenli olarak sil” seçeneğini açmak da faydalıdır — Matomo ham günlükleri belirli bir süre sonra otomatik silip yalnızca toplu raporları tutabilir.

Matomo On-Premise mi Matomo Cloud mu: kendi sunucunda barındırdığında Matomo’nun kendisi için bir veri işleyen yoktur — ama sunucunun bulunduğu sağlayıcı için vardır. Matomo Cloud’da veri işleyen InnoCraft Ltd.’dir (Yeni Zelanda, barındırma Almanya’da); veri işleme sözleşmesi (DPA) müşteri hesabında sunulur. Yeni Zelanda için Avrupa Komisyonu’nun bir yeterlilik kararı vardır.

Matomo’nun gizlilik politikasında kendine ait bir bölüme ihtiyacı vardır: amaç (erişim ölçümü), çalışma biçimi (kendi barındırma veya bulut, sunucu konumu), çerez kullanılıp kullanılmadığı, IP kısaltmanın kapsamı, hukuki dayanak (GDPR md. 6/1-a ve TDDDG § 25 fıkra 1 uyarınca onay — ya da çerezsiz kullanımda kendi gerekçeli değerlendirmen), ham verilerin saklama süresi ve itiraz hakkına dair bir not. Bir şablon yalnızca çerçeveyi verir; gerçek ayarların onunla örtüşmesi gerekir.

Matomo, Matomo Tag Manager ya da Google Tag Manager üzerinden sunuluyorsa onay orada uygulanmalıdır: Matomo etiketi ancak onaydan sonra tetiklenebilir ya da Matomo çerezsiz yapılandırmada çalışır ve onaydan sonra “rememberConsentGiven” veya “setCookieConsentGiven” ile çerez izni alır. Matomo’nun Google’daki gibi bir onay modu yoktur — kontrol, izleme API’sinin bu onay fonksiyonlarıyla yapılır.

Bu bir risk mi?

Matomo çerez ayarlıyorsa veya cihazdan başka tanımlayıcılar okuyorsa, § 25 f. 1 TDDDG geçerlidir ve önceden onay gerekir. Bazı denetim makamları, anında IP kısaltması ile ve cihazlar arası birleştirme olmadan çerezsiz çalışmayı onaysız savunulabilir görürken, diğerleri daha temkinlidir — ülke çapında tek tip bir onay yoktur. Matomo Cloud'da InnoCraft ile bir işleme sözleşmesi eklenir.

Ne yapabilirsiniz

• Çerezsiz izlemeyi etkinleştirin ve IP adresini derhal en az iki bayt kısaltın.
• “Do Not Track” ilkesine uyun, veri saklamayı ve ham günlükleri gerekli asgari düzeyle sınırlayın.
• Çerez kullanımında veya Matomo Cloud'da: Matomo'yu onay aracına dahil edin ve yalnızca onaydan sonra yükleyin.
• Gizlilik politikasında amacı (erişim ölçümü), barındırma yerini, hukuki dayanağı ve varsa işleme sözleşmesini belirtin.

Sık sorulan sorular

Çerezsiz Matomo onay gerektirir mi?

Şart değil, ama genel bir izin de değildir. Çerez olmadan ve IP hemen kısaltılarak bazı makamlar onaysız kullanımı kabul edilebilir bulur; yine de cihazdan bilgi okunuyorsa TDDDG § 25 uygulanabilir. Değerlendirmeni belgele.

Matomo için veri işleme sözleşmesine ihtiyacım var mı?

Matomo Cloud’da evet — InnoCraft ile. Kendi barındırmanda Matomo’nun kendisi için değil, verilerin bulunduğu sunucunun barındırma sağlayıcısı için.

Matomo gizlilik politikasında yer almalı mı?

Evet, her zaman — çerezsiz kullanımda da. Amacı, çalışma biçimini, sunucu konumunu, IP kısaltmayı, hukuki dayanağı ve saklama süresini belirt.

Matomo’nun Google’daki gibi bir onay modu var mı?

Hayır. Matomo onayı izleme API’sinin kendi fonksiyonlarıyla yönetir (ör. requireConsent / setConsentGiven ya da requireCookieConsent / setCookieConsentGiven); onay aracı bunları kabulden sonra çağırır.

consentglass nasıl yardımcı olur

Ücretsiz kontrol, sunulan HTML'yi analiz eder ve hangi hizmetlerin gömülü olduğunu, çerez banner'ının tespit edilip edilmediğini ve gizlilik ile iletişim bilgilerine bağlantıların bulunup bulunmadığını her bulgu için bir sınıflandırmayla gösterir. Hukuki danışmanlığın yerini tutmaz.