De onzichtbare laag onder de advertenties¶

Bij een grote app draait meer dan de zichtbare reclame. Onder de banners en pixels zit een tweede laag die het echte werk doet. Dat is een klantdataplatform, vaak aangevuld met e-mail- en attributiediensten. Samen vormen ze de gebeurtenis-ruggengraat van de app. Elke handeling die je verricht wordt daar geregistreerd: een scherm openen, een knop indrukken, een item bekijken, een aankoop afronden. Die laag oogt niet als reclame. Juist daarom valt hij buiten beeld bij wie op het uiterlijk van reclame let.

Een klantdataplatform is een verzamelpunt. In de markt zijn dat producten van het type Segment, Tealium of mParticle. De app stuurt er een stroom gebeurtenissen naartoe, meestal via een ingebouwde SDK of via een eigen server. Het platform bundelt die gebeurtenissen tot een profiel per gebruiker en verdeelt ze door naar de partijen die de organisatie heeft aangesloten. Het is infrastructuur voor de hele dataketen, en het draagt geen enkel merkteken dat op adverteren wijst.

Waarom een cookie-audit de ruggengraat mist¶

Een gewone cookie-audit zoekt naar het uiterlijk van reclame. De methode kijkt naar banners, naar advertentiepixels, naar bekende ad-domeinen op een blocklist. Een klantdataplatform komt op die lijsten vaak niet voor. Het draait onder een eigen of neutraal ogende domeinnaam, het levert een technische functie, en het lijkt op elke andere dienst die een app nodig heeft om te werken.

Zo ontstaat een blinde vlek. De aandacht gaat naar de etalage, dus naar de advertenties die iedereen herkent. De ruggengraat staat achter in het pand en registreert ondertussen alles. Die blinde vlek zit ook in veel geautomatiseerde controles. Een scanner die af gaat op bekende ad-domeinen geeft een groen vinkje zodra die domeinen ontbreken, terwijl de gebeurtenisstroom onaangeroerd doorloopt. Wie zo'n vinkje leest als bewijs van een schone app, leest de afwezigheid van reclame en verwart dat met de afwezigheid van verzameling. Dat is de valkuil die ik met een gerichte meting probeer te vermijden. Wie zijn oordeel baseert op wat op een blocklist staat, meet de reclamekant en laat de laag eronder ongemoeid. Dat is de kern van het probleem: de belangrijkste datastroom heeft precies het uiterlijk dat een reclamedetector negeert.

Hoe je die laag wel vindt¶

De ruggengraat wordt zichtbaar zodra je stopt met zoeken naar reclame en begint met kijken naar waar de gebeurtenissen heen gaan. In een HAR-opname van het verkeer zoek ik naar verzoeken die een gestructureerde payload dragen met velden als een gebruikers-id, een event-naam en een tijdstempel. Dat patroon hoort bij een gebeurtenis-verzamelaar, ongeacht de domeinnaam. Zie Netwerkverkeer lezen via HAR-files voor de methode.

Een ruwe eerste zeef op zo'n opname:

jq -r '.log.entries[]
  | select(.request.postData.text != null)
  | select(.request.postData.text | test("event|userId|anonymousId|track"; "i"))
  | .request.url' capture.har | sort -u

Wat overblijft zijn de endpoints die gedrag ontvangen. Een deel daarvan staat op geen enkele advertentielijst. Dat is precies de laag die een cookie-audit overslaat. Dit is een afgeleide vaststelling. De payload en de domeinnaam maken aannemelijk dat het om een klantdataplatform gaat, maar de opname bewijst niet welk product er draait of wat de ontvanger er verder mee doet.

Wat de e-mail- en attributiediensten toevoegen¶

De ruggengraat is meer dan het klantdataplatform alleen. Eromheen hangen e-mail- en attributiediensten die de stroom afmaken. Een e-maildienst koppelt gedrag aan een adres, zodat een handeling in de app kan leiden tot een bericht in je inbox. Een attributiedienst beantwoordt de vraag welke advertentie of welke bron een installatie of aankoop veroorzaakte. Daarvoor moet die dienst per gebruiker bijhouden waar die vandaan kwam en wat die daarna deed.

Het gevolg is dat de gebeurtenissen niet los blijven staan. Ze worden gekoppeld aan een identiteit, aan een herkomst en aan een uitkomst. Een resetbare reclame-identifier is daarbij vaak de lijm. Zie Hoe gevoeliger de context, hoe langer de identifier meegaat voor waarom die identifier zwaarder weegt naarmate de context gevoeliger wordt. Voor mijn weging telt dat de ruggengraat niet één kanaal is, maar een geheel dat gedrag, identiteit en herkomst aan elkaar knoopt. Dat het om die koppeling gaat, is een afgeleide conclusie uit de functie van deze diensten, niet uit één enkel verzoek op de lijn.

Waar de gegevens landen¶

Deze ruggengraat stuurt de gegevens in veel gevallen naar Amerikaanse cloudregio's. De grote klantdataplatformen draaien op infrastructuur van Amerikaanse aanbieders, en hun standaardregio's liggen in de Verenigde Staten. Dat betekent dat de complete registratie van wat een gebruiker doet structureel onder Amerikaanse jurisdictie komt te staan.

Het bewijsniveau hier is belangrijk. Dat data naar een Amerikaanse regio gaat kan ik afleiden uit de bestemming van het verkeer, uit de hosting en soms uit de responsheaders. Dat de gegevens daarmee onder Amerikaanse toegangswetgeving vallen is een juridische gevolgtrekking, geen meting. Sinds het Schrems II-arrest van het Hof van Justitie staat vast dat doorgifte naar de Verenigde Staten aanvullende waarborgen vereist. De AVG regelt die doorgifte in de artikelen 44 tot en met 49. Een gebeurtenis-ruggengraat die alles doorsluist naar een Amerikaanse regio raakt precies die bepalingen, en dat weegt zwaarder dan een enkele advertentiecookie omdat het om de volledige gedragsregistratie gaat.

Wat dit voor mijn werk betekent¶

Ik behandel de reclamekant als het topje. De gebeurtenis-ruggengraat is de echte maat voor wat een app verzamelt. Daarom rangschik ik in mijn scans de bestemmingen op wat ze ontvangen, niet op of ze op een blocklist staan. Een endpoint dat een volledig gebeurtenisprofiel binnenkrijgt weegt zwaarder dan een advertentiepixel, ook als het advertentiepixel bekender is.

Dat betekent ook dat mijn conclusie een ondergrens blijft. Een deel van de doorverdeling gebeurt op de server, buiten mijn opname, zoals bij Server-side tagging verplaatst de tracking uit het zicht. En het feit dat een dienst in Europa draait geeft geen vrijwaring, want de zeggenschap kan alsnog bij een Amerikaans moederbedrijf liggen. Zie In Europa gehost is geen vrijwaring. Wie de echte datastroom van een app wil wegen, moet voorbij de advertenties kijken en de ruggengraat opzoeken die zich als gewone infrastructuur voordoet.

Zie ook De privacyvriendelijke opvolger komt naast het oude tracken, In Europa gehost is geen vrijwaring en Server-side tagging verplaatst de tracking uit het zicht.