Политика конфиденциальности

В стандарте OpenRTB 2.6, разработанном IAB Tech Lab, политики конфиденциальности реализуются через передачу специальных сигналов в объектах запроса на ставку. Основная цель — дать пользователю контроль над своими данными и обеспечить соблюдение законов GDPR (Европа) и CCPA/CPRA (США).

Ключевые механизмы, которые используются для обеспечения приватности:

Объекты Device и Regs (Regulations)

Главный узел, в котором указывается, какие именно законы применяются к текущему запросу:

• regs.gdpr — флаг (0 или 1), указывающий, подпадает ли транзакция под действие европейского регламента.
• regs.coppa — флаг, ограничивающий сбор данных о детях (Children's Online Privacy Protection Act).
• device.lmt — флаг Limited Ad Tracking, запрет на отслеживание пользователей между приложениями. Отключает доступ к IFA (IDFA/GAID/AAID/OAID). При наличии флага device.lmt допускается использование IFV, Appsetid, DUID, UUID.
• device.dnt — флаг Do not track, запрещает использование сторонних cookie-файлов (3rd party) для отслеживания пользователей между сайтами. При этом разрешено использовать собственные файлы (1st party) cookie. Также допускается применение следующих идентификаторов — IFV, Appsetid, DUID и UUID.

TCF и GPP (передача согласия)

IAB использует специальные строки (consent strings), которые упаковывают все разрешения пользователя:

• TCF (Transparency and Consent Framework) — в поле user.ext.consent передается зашифрованная строка, которая говорит рекламным системам, разрешил ли пользователь профилирование, использование геолокации и т.д.
• GPP (Global Privacy Platform) — в OpenRTB 2.6 это приоритетный стандарт. Поля regs.gpp и regs.gpp_sid позволяют передавать настройки приватности для множества регионов сразу в одном объекте.

Ограничение передачи данных (Data Minimization)

Стандарт поощряет и технически позволяет скрывать чувствительную информацию:

• IP-адреса — часто передаются в усеченном виде (IPv4 с маскировкой последнего октета).
• User Agent — в версии 2.6 активно внедряются User-Agent Client Hints (UA-CH), чтобы заменить старую строку User-Agent, которая позволяла слишком точно идентифицировать устройство («фингерпринтинг»).
• Геолокация — координаты могут округляться до определенного знака после запятой, чтобы скрыть точное местоположение пользователя.

Обработка сигналов «Do Not Sell» (US Privacy)

Для американского рынка используется строка us_privacy в объекте regs. Она сообщает всем участникам цепочки (DSP, SSP), запретил ли пользователь продажу своих личных данных согласно CCPA.

Идентификаторы (User IDs)

OpenRTB 2.6 поддерживает работу с альтернативными ID (Universal IDs), такими как UID2 или ID5, через массив user.ext.eids. Это позволяет рекламным системам узнавать пользователя без использования сторонних cookie (3rd-party cookies), основываясь на хешированных и защищенных данных, если на то есть согласие.